KnowSafe 安全预警：saltstack salt 对路径名的限制不恰当（路径遍历）

KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2021-25282 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。

漏洞介绍

SaltStack Salt是SaltStack（Saltstack）公司的一套开源的用于管理基础架构的工具。该工具提供配置管理、远程执行等功能。

SaltStack Salt 3002.5之前版本中存在路径遍历漏洞。目前没有详细漏洞细节提供。

影响范围

应用：saltstack salt（影响面 Up to (excluding) 2015.8.10）

应用：saltstack salt（影响面 Up to (excluding) 2015.8.13）

应用：saltstack salt（影响面 Up to (excluding) 2016.11.5）

应用：saltstack salt（影响面 Up to (excluding) 2016.11.10）

应用：saltstack salt（影响面 Up to (excluding) 2016.3.4）

应用：saltstack salt（影响面 Up to (excluding) 2016.3.6）

应用：saltstack salt（影响面 Up to (excluding) 2016.3.8）

应用：saltstack salt（影响面 Up to (excluding) 2016.11.3）

……另有 15 项受影响环境，详见官方公告

解决方案

厂商已提供漏洞修补方案，请关注厂商主页及时更新：

https://repo.saltstack.com

参考信息

http://packetstormsecurity.com/files/162058/SaltStack-Salt-API-Unauthenticated-Remote-Command-Execution.html

https://github.com/saltstack/salt/releases

https://lists.debian.org/debian-lts-announce/2021/11/msg00009.html

https://lists.debian.org/debian-lts-announce/2022/01/msg00000.html

https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/7GRVZ5WAEI3XFN2BDTL6DDXFS5HYSDVB/

KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。