关于SaltStack软件存在高危漏洞的预警通报

      据国家网络与信息安全信息通报中心监测发现，服务器基础架构集中化管理软件SaltStack 存在认证绕过漏洞（CVE-2020-11651）和目录遍历漏洞（CVE-2020-11652）。经分析研判，攻击者可利用认证绕过漏洞实现远程命令执行。攻击者可利用目录遍历漏洞，读取服务器上任意文件。受影响的软件版本包括：版本号低于2019.2.4和3000.2的SaltStack版本。

     鉴于上述漏洞潜在危害较大，建议各重要行业部门高度重视，立即采取以下措施：

一是及时通报本部门、本行业重点单位，要求各单位迅速排查SaltStack 软件使用情况；

二是在确保安全的前提下，及时升级SaltStack 软件版本，消除安全隐患，升级地址为：https://repo.saltstack.com；

三是设置访问控制策略，限制非信任IP访问SaltStack 软件服务4505 和 4506端口。发现攻击情况及时处置并报告属地公安网安部门。