CVE-2016-1866
WysokieStreszczenie
Salt w wersji 2015.8.x przed 2015.8.4 nieprawidłowo obsługuje czyste wiadomości na minionie, co pozwala atakującym typu man-in-the-middle na wykonanie dowolnego kodu poprzez wstrzykiwanie pakietów do strumienia danych minion-master.
Ocena ryzyka
Atakujący mogą przejąć kontrolę nad minionem, co prowadzi do potencjalnego wycieku danych lub złośliwego działania w infrastrukturze organizacji.
Rekomendacja
Zaleca się aktualizację Salt do wersji 2015.8.4 lub nowszej, aby zlikwidować tę podatność.
Inne podatności w Salt
Zobacz wszystkie- CVE-2015-4017Wysokie
Salt w wersjach przed 2014.7.6 nie weryfikuje certyfikatów podczas łączenia się za pomocą modułów aliyun, proxmox i splunk.
- CVE-2016-9639Krytyczne
Salt w wersjach przed 2015.8.11 pozwala usuniętym minionom na odczyt lub zapis do minionów o tym samym identyfikatorze, co jest związane z pamięcią podręczną.
Oryginalny opis (angielski, źródło NVD)
Salt 2015.8.x before 2015.8.4 does not properly handle clear messages on the minion, which allows man-in-the-middle attackers to execute arbitrary code by inserting packets into the minion-master data stream.