Bulletin d'alerte Debian

DSA-4837-1 salt -- Mise à jour de sécurité

Date du rapport :

24 janvier 2021

Paquets concernés :

salt

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le dictionnaire CVE du Mitre : CVE-2020-16846, CVE-2020-17490, CVE-2020-25592.

Plus de précisions :

Plusieurs vulnérabilités ont été découvertes dans salt, un puissant gestionnaire d'exécution à distance. Ces défauts pourraient avoir pour conséquences un contournement d'authentification et l'invocation de Salt par SSH, la création de certificats avec des permissions de fichier faibles au moyen du module d'exécution TLS ou des injections de commande d'interpréteur avec l'API de Salt en utilisant le client SSH.

Pour la distribution stable (Buster), ces problèmes ont été corrigés dans la version 2018.3.4+dfsg1-6+deb10u2.

Nous vous recommandons de mettre à jour vos paquets salt.

Pour disposer d'un état détaillé sur la sécurité de salt, veuillez consulter sa page de suivi de sécurité à l'adresse : https://security-tracker.debian.org/tracker/salt.