Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en el instalador de minions de Salt en C:\salt\conf en SaltStack Salt (CVE-2021-22004)

Gravedad CVSS v3.1:
MEDIA
Tipo:
CWE-362 Ejecución concurrente utilizando recursos compartidos con una incorrecta sincronización (Condición de carrera)
Fecha de publicación:
08/09/2021
Última modificación:
07/11/2023

Descripción

Se detectó un problema en SaltStack Salt versiones anteriores a 3003.3. El instalador de minions de Salt aceptará y usará un archivo de configuración de minions en C:\salt\conf si ese archivo está en su lugar antes de que se ejecute el instalador. Esto permite a un actor malicioso subvertir el comportamiento adecuado del software minion dado

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:saltstack:salt:*:*:*:*:*:*:*:* 3000.3 (excluyendo)
cpe:2.3:o:microsoft:windows:-:*:*:*:*:*:*:*
cpe:2.3:o:fedoraproject:fedora:33:*:*:*:*:*:*:*
cpe:2.3:o:fedoraproject:fedora:34:*:*:*:*:*:*:*
cpe:2.3:o:fedoraproject:fedora:35:*:*:*:*:*:*:*