Debian是一个完全自由、稳定且安全的Linux操作系统，广泛应用于笔记本电脑、台式机及服务器。自1993年推出以来，Debian以其卓越的稳定性和可靠性赢得了众多用户的青睐。
在1月24日，Debian远程管理器（Salt）被发现存在命令注入等重要漏洞，因此建议用户尽快进行升级。以下是有关漏洞的详细信息：
漏洞详情
来源：https://www.debian.oRg/security/2021/dsa-4837
SaltStack是一款基于Python开发的C/S架构配置管理工具。2020年11月，SaltStack官方披露了两个漏洞：CVE-2020-16846和CVE-2020-25592。其中，CVE-2020-25592允许任何用户调用SSH模块，而CVE-2020-16846则允许用户执行任意命令。若将这两个漏洞结合使用，未授权的攻击者能够通过Salt API执行任意命令。
1. CVE-2020-16846 严重程度：高
未经过身份验证的攻击者可以通过构造恶意请求，利用Shell注入获取SSH连接，从而在Salt-API上执行任意命令。
2. CVE-2020-25592 严重程度：高
该漏洞可能导致身份验证被绕过，并对Salt SSH进行调用。攻击者能够通过TLS执行模块来创建具有弱文件权限的证书，或使用SSH客户端通过Salt API进行外壳注入，从而利用Salt SSH连接目标主机。
结合使用CVE-2020-16846和CVE-2020-25592，攻击者可以在未授权的情况下通过Salt API接口执行任意命令。
3. CVE-2020-17490 严重程度：高
本地攻击者若以低权限用户身份登录Salt主机，可能会从当前Salt程序主机读取密钥内容，导致信息泄露。
受影响的产品及版本
上述漏洞影响Debian Salt软件包2018.3.4 + dfSG1-6 + deb10u2之前的版本。
解决方案
该问题已在2018.3.4 + dfSG1-6 + deb10u2版本中得到修复，官方建议用户及时更新Salt软件包。
欲了解更多漏洞信息及升级详情，请访问官网：
https://www.debian.oRg/lts/security/
[[[IMG_1]]]
[[[IMG_2]]]
[[[IMG_3]]]
