کمیته رکن چهارم – در پی کشف دو آسیب‌پذیری حیاتی در Salt، توسعه‌دهندگان این بستر مدیریتی در هشداری از کاربران خواسته‌اند که نسبت به به‌روزرسانی آن اقدام کنند.
محققان شرکت F-Secure در ۱۱ اردیبهشت اقدام به انتشار جزییات این دو آسیب‌پذیری کردند. به این آسیب‌پذیری‌ها شناسه‌های CVE-۲۰۲۰-۱۱۶۵۱ و CVE-۲۰۲۰-۱۱۶۵۲ تخصیص داده شده‌است.
Salt پروژه‌ای کد باز (Open-source) از شرکت SaltStack است که معمولاً در مراکز داده و سرورهای ابری، استفاده می‌شود. شدت حساسیت آسیب‌پذیری‌های مذکور و سادگی بهره‌جویی (Exploit) از آنها به حدی است که F-Secure به‌دلیل نگرانی از مورد سوءاستفاده قرار گرفتن از انتشار عمومی نمونه اثبات‌گر (Proof-of-Concept) خودداری کرده‌است. گرچه محققان این شرکت گفته‌اند که هکرهای با دانش لازم در کمتر از ۲۴ ساعت قادر به ساخت بهره‌جوی آنها خواهندبود.
نسخ قبل از ۲۰۱۹,۲.۴ و ۳۰۰۰.۲ نرم‌افزار Salt از این آسیب‌پذیری‌ها تأثیر می‌پذیرند. در هر سرور Salt ابزاری با نام Minion اجرا می‌شود که با اتصال به یک سرور موسوم به Master، گزارش‌ها در خصوص وضعیت خود را به آن ارسال می‌کند. در پاسخ، Master نیز پیام‌های به‌روزرسانی نظیر تغییرات تنظیمات را به سرورهای تحت مدیریت خود ارسال یا به قولی منتشر (Publish) می‌کند.
ZeroMQ، پودمان ارتباطی پیش‌فرض در Salt است که در قالب دو Instance، یکی با عنوان “request serve” و دیگری با عنوان publish server به‌ترتیب توسط Minion و Master مورد استفاده قرار می‌گیرد. آسیب‌پذیری‌های مذکور از وجود باگ در این دو Instance ناشی می‌شوند.
باگ نخست (CVE-۲۰۲۰-۱۱۶۵۱) منجر به عبور از سد اصالت‌سنجی (Authentication Bypass) و باگ دیگر (CVE-۲۰۲۰-۱۱۶۵۲) موجب بروز ضعف امنیتی Directory traversal می‌شود.
CVE-۲۰۲۰-۱۱۶۵۱ از افشای توابع ()send_pub _و ()prep_auth_info_ توسط کلاس ClearFuncs ناشی می‌شود. پیام‌ها می‌توانند به‌نحوی مورد استفاده قرار بگیرند که Minion را وادار به اجرای فرامین و فراهم نمودن شرایطی کنند که کلید دارای دسترسی root برای فراخوانی فرامین مدیریتی بر روی سرور Master در دسترس قرار بگیرد.
محققان معتقدند که این اشکال ناخواسته، مهاجم اصالت‌سنجی نشده را به‌صورت از راه دور قادر به دسترسی یافتن به سرور Master با سطح دسترسی root می‌کند.
CVE-۲۰۲۰-۱۱۶۵۲ نیز مرتبط با ماژول موسوم به wheel در Salt است که شامل فرامینی برای خواندن و نوشتن توابع در مسیرهایی خاص است. عدم کنترل صحیح، این فرصت را برای مهاجم فراهم می‌کند که اجزای مسیر را با کلاس‌های افشا شده از طریق آسیب‌پذیری ClearFuncs بازنویسی کند.
در کل، باگ‌ها مهاجم را قادر به اتصال به‌منظور درخواست درگاه‌ها برای عبور از سد کنترل‌های اصالت‌سنجی و انتشار پیام‌های دلخواه خود کرده و در ادامه دسترسی به کل سیستم فایل سرور Master را فراهم، کلید مورد استفاده در اصالت‌سنجی با سرور Master در سطح root را افشا کرده و از راه دور کد را نه فقط بر روی Master که تمامی سیستم‌های Minion متصل به بستر اجرا می‌کند.
توسعه‌دهندگان SaltStack روز ۲۶ اسفند از وجود این آسیب‌پذیری‌ها مطلع شدند. همزمان با رسیدگی SaltStack به این باگ‌ها،F-Secure نیز اقدام به انجام یک پویش اینترنتی کرد که بر طبق آن ۶ هزار مورد بالقوه آسیب‌پذیر شناسایی شدند.
در ۴ اردیبهشت توسعه‌دهندگان به اعضای کمیته Salt در دست اقدام بودن عرضه اصلاحیه را اطلاع‌رسانی کرد و به کاربران عدم اتصال Salt به اینترنت را توصیه کرد. این باگ‌ها درنهایت در نسخ ۲۰۱۹,۲.۴ و ۳۰۰۰.۲ که در ۱۰ اردیبهشت عرضه شدند ترمیم شده‌اند.
منبع: مرکز مدیریت راهبردی افتا
