服务器、存储、网络产品购置热线：400-860-6708 ERP、管理软件购置热线：400-018-7700云服务产品销售热线：400-607-6657
清静预警 - 涉及K8凯发·国际官方网站部分产品的SaltStack RCE等误差清静更新
预警编号：INSPUR-SA-202005-001
初始宣布时间：2020-05-22 14:18:10
更新宣布时间：2020-05-22 14:18:10
误差概述：

CVE-2020-11651：SaltStack认证绕过误差,攻击者通过结构恶意请求，可以绕过Salt Master的验证逻辑，挪用相关未授权函数功效，从而可以造成远程下令执行误差。
CVE-2020-11652：Salt Master目录遍历误差，攻击者通过结构恶意请求，读取服务器上恣意文件。
其他第三方组件误差：
CVE-2015-5589：PHP远程拒绝服务误差
CVE-2016-2554：PHP基于栈的缓冲区溢出误差
CVE-2018-7584：PHP栈缓冲区溢出误差
CVE-2016-7568：PHP整数溢出误差
CVE-2019-9023：PHP缓冲区过失误差
CVE-2017-12933：PHP堆缓冲区溢出误差

已完成修复的产品版本：
产品名称 受影响产品版本 修复补丁包/升级包版本
AS13000 3.6.3.9 Salt-2015.8-AS13000--3.6.3.9-update.zip
php-5.6.40-AS13000-3.6.3.9-update.zip
AS13000 3.6.3.9-SP1
AS13000 3.6.3.9-SP2
AS13000 3.6.3.9-SP3
AS13000 3.6.3.9-SP4
AS13000 3.6.3.9-SP5

影响效果：

乐成使用上述误差可实现远程代码执行或导致PHP拒绝服务。

误差得分：
CVE V3.1 Vector(Base) Base Score V3.1 Vector(Temporal Score) Temporal Score
CVE-2020-11651 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 9.8 E:F/RL:O/RC:C 9.1
CVE-2020-11652 AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N 6.5 E:F/RL:O/RC:C 6
CVE-2015-5589 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 9.8 E:U/RL:O/RC:C 8.5
CVE-2016-2554 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 9.8 E:P/RL:O/RC:C 8.8
CVE-2018-7584 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 9.8 E:P/RL:O/RC:C 8.8
CVE-2016-7568 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 9.8 E:U/RL:O/RC:C 8.5
CVE-2019-9023 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 9.8 E:P/RL:O/RC:C 8.8
CVE-2017-12933 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 9.8 E:U/RL:O/RC:C 8.5

手艺细节：

误差使用条件：
CVE-2020-11651，要求目的系统开启saltstack服务（默认4506端口），并可以通过公网会见。
误差详细形貌：
CVE-2020-11651，该误差可被未经身份验证的远程攻击者通过发送特制的请求在minion端服务器上执行恣意下令。

版本获取链接：

请用户直接联系客户服务职员或发送邮件至sun.meng@inspur.com，获取补丁，以及相关的手艺协助。

规避步伐：

无

误差泉源：

由外洋某清静团队果真披露

更新纪录：

20200519-V1.0-Initial Release

FAQs：

无

K8凯发·国际官方网站清静应急响应对外服务：

K8凯发·国际官方网站一直主张尽全力包管产品用户的最终利益，遵照认真任的清静事务披露原则，并通过产品清静问题处置惩罚机制处置惩罚产品清静问题。
反响K8凯发·国际官方网站产品相关的清静问题,请邮件至K8凯发·国际官方网站PSIRT邮箱sec@inspur.com，详情参考：
/lcjtww/2312126/2432763/index.html

关于K8凯发·国际官方网站

新闻与运动

怎样购置

探索K8凯发·国际官方网站

通用服务器 存储 人工智能 爱都会网 K8凯发·国际官方网站云 K8凯发·国际官方网站云ERP

支持与服务

快速链接

合作伙伴生态 电子采购平台 投行项目 投资者关系 品德遵从

在社交媒体上关注我们

k8·凯发(中国)天生赢家·一触即发

?1996 - 2020 INSPUR Co., Ltd. 鲁ICP备05019369号

鲁公网安备 37010202001184号

K8凯发·国际官方网站

拨打咨询电话

呼叫在线客服

  • 服务器存储网络产品销售 服务器存储售后 ERP售前售后 云服务产品销售
网站地图