Bulletin d'alerte Debian

DSA-5011-1 salt -- Mise à jour de sécurité

Date du rapport :

19 novembre 2021

Paquets concernés :

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le système de suivi des bogues Debian : Bogue 983632, Bogue 994016, Bogue 987496.
Dans le dictionnaire CVE du Mitre : CVE-2021-21996, CVE-2021-31607, CVE-2021-25284, CVE-2021-25283, CVE-2021-25282, CVE-2021-25281, CVE-2021-3197, CVE-2021-3148, CVE-2021-3144, CVE-2020-35662, CVE-2020-28972, CVE-2020-28243.

Plus de précisions :

Plusieurs vulnérabilités de sécurité ont été découvertes dans Salt, un puissant gestionnaire d'exécution à distance, qui pourraient permettre une élévation locale de privilèges sur un client (« minion »), des attaques par injection de patron côté serveur, des vérifications insuffisantes pour des accréditations eauth, des injections d'interpréteur de commandes et de commandes ou une validation incorrecte de certificats SSL.

Pour la distribution oldstable (Buster), ce problème a été corrigé dans la version 2018.3.4+dfsg1-6+deb10u3.

Pour la distribution stable (Bullseye), ce problème a été corrigé dans la version 3002.6+dfsg1-4+deb11u1.

Nous vous recommandons de mettre à jour vos paquets salt.

Pour disposer d'un état détaillé sur la sécurité de salt, veuillez consulter sa page de suivi de sécurité à l'adresse : https://security-tracker.debian.org/tracker/salt.