← Toutes les vulnérabilités exploitées (KEV)
Vulnérabilités SaltStack activement exploitées (KEV)
Les 3 vulnérabilités SaltStack dont la CISA a confirmé
l’exploitation réelle, de la plus récente à la plus ancienne.
Textes traduits automatiquement ; la fiche de la CISA fait foi.
CVE-2020-16846 — SaltStack, Salt : vulnérabilité d'injection de shell
- Produit : SaltStack Salt
- Ajoutée au catalogue : 3 novembre 2021
- Échéance CISA : 3 mai 2022
- Rançongiciels : pas d’usage connu
- Faiblesse : CWE-78
- Gravité : CVSS 9,8 (critique)
- Probabilité d’exploitation (EPSS) : 100 %
SaltStack Salt permet à un utilisateur non authentifié ayant un accès réseau à l'API Salt d'utiliser des injections de shell pour exécuter du code sur l'API Salt en utilisant le client SSH. Cette vulnérabilité affecte tous les utilisateurs exécutant l'API Salt.
Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.
Références : NVD · CISA
CVE-2020-11652 — SaltStack Salt : vulnérabilité de traversée de répertoires
- Produit : SaltStack Salt
- Ajoutée au catalogue : 3 novembre 2021
- Échéance CISA : 3 mai 2022
- Rançongiciels : pas d’usage connu
- Faiblesse : CWE-22
- Gravité : CVSS 6,5 (moyenne)
- Probabilité d’exploitation (EPSS) : 86 %
SaltStack Salt contient une vulnérabilité de traversée de répertoires dans le processus salt-master ClearFuncs qui permet un accès aux répertoires aux utilisateurs authentifiés. Les utilisateurs de Salt qui suivent les directives fondamentales de sécurité Internet et les meilleures pratiques ne sont pas affectés par cette vulnérabilité.
Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.
Références : NVD · CISA
CVE-2020-11651 — SaltStack, Salt : contournement de l'authentification
- Produit : SaltStack Salt
- Ajoutée au catalogue : 3 novembre 2021
- Échéance CISA : 3 mai 2022
- Rançongiciels : pas d’usage connu
- Gravité : CVSS 9,8 (critique)
- Probabilité d’exploitation (EPSS) : 97 %
SaltStack Salt contient une vulnérabilité de contournement de l'authentification dans le processus salt-master ClearFuncs en raison d'une validation incorrecte des appels de méthodes. La vulnérabilité permet à un utilisateur distant d'accéder à certaines méthodes sans authentification, ce qui peut être utilisé pour récupérer des jetons utilisateur depuis le salt master et/ou exécuter des commandes sur les salt minions. Les utilisateurs de Salt qui suivent les directives fondamentales de sécurité Internet et les meilleures pratiques ne sont pas affectés par cette vulnérabilité.
Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.
Références : NVD · CISA
← Retour au suivi KEV ·
télécharger tout le catalogue (CSV)