CVE-2021-25315criticalCWE-287

salt-api unauthenticated remote code execution

28Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 9.8epss 2.3%

probabilidade de exploração

2.3%top 17% das CVEs

exploração observada

nãonenhuma fonte reporta

Em resumo

O serviço salt-api em sistemas SUSE Linux Enterprise Server e openSUSE permite que atacantes executem código malicioso sem precisar de senha ou credenciais válidas. É crítico porque salt gerencia servidores inteiros, então acesso não autorizado significa comprometimento total do sistema.

Detalhe técnico

Falha CWE-287 de autenticação inadequada no salt-api permite execução remota de código sem autenticação em SUSE Linux Enterprise Server 15 SP3 e openSUSE Tumbleweed. A vulnerabilidade permite que atacantes locais contornem validação de credenciais e executem comandos arbitrários com privilégios do salt; versões afetadas são anteriores a 3002.2-3 (SLES) e 3002.2-2.1 (Tumbleweed).

Resumo gerado e traduzido por IA a partir da descrição oficial.

CWE - CWE-287: Improper Authentication vulnerability in SUSE Linux Enterprise Server 15 SP 3; openSUSE Tumbleweed allows local attackers to execute arbitrary code via salt without the need to specify valid credentials. This issue affects: SUSE Linux Enterprise Server 15 SP 3 salt versions prior to 3002.2-3. openSUSE Tumbleweed salt version 3002.2-2.1 and prior versions. This issue affects: SUSE Linux Enterprise Server 15 SP 3 salt versions prior to 3002.2-3. openSUSE Tumbleweed salt version 3002.2-2.1 and prior versions.

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Produtos afetados

openSUSE · Tumbleweed SUSE · SUSE Linux Enterprise Server 15 SP 3

Referências

https://bugzilla.suse.com/show_bug.cgi?id=1182382