インフラ構成管理ツール「SaltStack」に深刻な脆弱性 - 悪用コード公開、早急に対処を

脆弱性の判明を受けて、開発チームでは修正版となる「同2019.2.4」「同3000.2」をリリース。利用者に対して、早急にアップデートを実施し、脆弱性を解消するよう求めた。

開発チームでは、パッチ公開前にこれら脆弱性に対する「ゼロデイ攻撃」を確認していないが、すでにエクスプロイトコードが公開されており、開発チームでもアップデート公開後に権限を持たないユーザーによって脆弱なシステムに対するアクセスを確認したとして、注意を呼びかけている。

また脆弱性が明らかとなったことを受けてF-Secureは、「SaltStack」　が「Amazon Web Services（AWS）」や「Google Cloud Platform」などクラウド環境などにおいても広く導入されていると指摘。

5月1日の時点で約6000の「Salt Master」がインターネット上に公開されていることを確認しており、多くのシステムが脆弱な環境に置かれているとして、システム管理者へ警鐘を鳴らしている。

（Security NEXT - 2020/05/07 ）ツイート