CVE-2020-11651
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.
Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.
Apply updates per vendor instructions.
El proceso master de SaltStack Salt no valida correctamente quién está llamando a ciertas funciones, permitiendo que atacantes remotos accedan al sistema sin contraseña. Esto puede usarse para robar credenciales o ejecutar comandos maliciosos en servidores conectados.
La clase ClearFuncs en salt-master carece de validación adecuada de autenticación para invocaciones de métodos, permitiendo acceso remoto no autenticado a funciones sensibles. Un atacante puede explotar esto para exfiltrar tokens de usuario y ejecutar código arbitrario en minions de salt.
El análisis completo de esta CVE está disponible en portugués →