salt 用のこの更新では、次の問題を修正しています：

  - [回帰] 権限問題：salt-ssh minion boostrapは機能しなくなりました。（bsc#1027722）

  - ロケールモジュールとその他でのSuseに対するos_family文字列の間違った使用（bsc#1038855）

  - 「SSHを介してシステムを完全に管理します（エージェントをインストールしません）」を使用しているホストをブートストラップできません（bsc#1002529）

  - ユーザーを追加するか、作業していないグループのメンバーをSLES11 SPxに置き換えます（bsc#978150）

  - SLES-12-GAクライアントがsalt minionの起動に失敗します（SUSE MANAGER 3.0）（bsc#991048）

  - パッケージが利用できない場合にsalt pkg.latestが例外を発生させます（bsc#1012999）

  - 「registerrelease」と「productline」上のpkg.list_productsがブール値を返します。空の場合はfalseを返します（bsc#989193）

  - SLES-12-SP1 salt-minionクライアントには、デフォルトでベースチャネルが追加されていません（bsc#986019）

  - 再起動しても、Web-UIから「システムは再起動が必要です」の表示が消えません（bsc#1017078）

  - startprocからオプション-fを削除します（bsc#975733）

  - [PYTHON2] パッケージsalt-minionには/usr/bin/pythonが必要です（bsc#1081592）

  - RHEL6/7クライアントでパッケージをアップグレードすると失敗します（bsc#1068566）

  - /var/log/saltに安全でない権限が設定されています（bsc#1071322）

  - [Minion-bootstrapping] 無効なcharが原因のサーバー（salt-master ERROR）（bsc#1011304）

  - CVE-2016-9639：取り消されたキーがまだ使用されていることによる情報漏洩の可能性（bsc#1012398）

  - SLES12 minionのブートストラップが無効です（bsc#1053376）

  - プロキシに複数のFQDNがある場合は、minionが正しくオンボーディングされません（bsc#1063419）

  - salt --summary '*' <function>が「戻らなかったminionの数」を誤って報告します（bsc#972311）

  - RH-L3 SALT - nscd状態の使用時にnscdパッケージが存在しない場合のスタックトレース（bsc#1027044）

  - 破損したInspector：照合または検査中に、モジュール「query」または「inspector」が見つかりません（bsc#989798）

  - [Regression] guiまたはcliからのCentOS7 Minionリモートコマンド実行、minionが応答しません（bsc#1027240）

  - SALT、minion_id生成がnewhostnameと一致しません（bsc#967803）

  - 一致しないSSH呼び出しが発行されると、Salt APIサーバーがシャットダウンします（bsc#1004723）

  - /var/log/salt/minionでlogrotateが失敗します（bsc#1030009）

  - Saltプロキシtest.pingがクラッシュします（bsc#975303）

  - 役に立たないメッセージを含むsaltマスターフラッドログ（bsc#985661）

  - ブートストラップ後に、saltクライアントに廃止の警告が表示されます（bsc#1041993）

  - ヘッド：salt 2017.7.2 は、ルートユーザーとしてsalt-masterを起動します（bsc#1064520）

  - CVE-2017-12791：悪意のある細工されたMinion IDによりSalt-Masterで不要なディレクトリトラバーサルが発生する可能性がある（bsc#1053955）

  - salt-2017.7.2 - salt-masterの破損した%postスクリプト（bsc#1079048）

  - SaltStack Kubernetesモジュールを使用したティアダウン展開で必ずエラーが表示されます（bsc#1059291）

  - lvm.vg_presentは、特定のLVMフィルター設定でPVを認識しません。（bsc#988506）

  - 高状態の失敗：サービス実行モジュールがロードされていません：
    サービスのサポートをチェックします（bsc#1065792）

  - パッケージの複数のバージョンがminion上にインストールされている場合は、パッチのステータスが異なる場合があります（bsc#972490）

  - Salt cp.pushが、python3.4のためにSUMA 3.2ビルドで動作しません（bsc#1075950）

  - timezoneモジュールが、/etc/sysconfig/clockを更新しません（bsc#1008933）

  - SUSE Managerのスケーラビリティ機能をサポートするためのパッチをsaltに追加します（bsc#1052264）

  - snapperモジュールのロード中のDBus例外が原因で、salt-minionが最小のRHEL6で起動に失敗しました（bsc#993039）

  - 拒否された権限：「/var/run/salt-master.pid」（bsc#1050003）

  - 将来の時刻に実行するようスケジュールされているジョブが、Salt minionに対して保留状態のままになります（bsc#1036125）

  - kubernetes-modulesをsaltにバックポートします（bsc#1051948）

  - highstate後：minion関数が例外を引き起こしました（bsc#1068446）

  - VUL-0：CVE-2017-14695：salt：minion ID検証のディレクトリトラバーサルの脆弱性（bsc#1062462）

  - RHEL上でsalt-minionを更新できません（bsc#1022841）

  - salt-minionプロセスが原因でノード上のメモリが枯渇します（bsc#983512）

  - [Proxy] salt minionのブートストラップ中の「破損したパイプ」（bsc#1039370）

  - /etc/rc.d/salt-minionからの不正なリターンコード（bsc#999852）

  - CVE-2017-5200：api経由のSalt-sshで、任意のコマンドがユーザーsaltとして実行されます（bsc#1011800）

  - salt-minion上のbeacons.confが処理されません（bsc#1060230）

  - SLES11 SP3 salt-minionクライアントが、ベースチャネルを選択できません（bsc#975093）

  - salt-ssh sys.docが引数のない認証エラーを表示します（bsc#1019386）

  - minionのブートストラップ：SLE11クライアントをブートストラップしたときのエラー（bsc#990439）

  - SLES11 SP3クライアントの証明書展開が失敗します（bsc#975757）

  - state.module run()がvarargsを変換しません（bsc#1025896）

このsaltの更新では、次のセキュリティ問題とバグを修正します：以下のセキュリティ問題が修正されました：

  - CVE-2017-14695：ミニオンID検証でのディレクトリトラバーサル脆弱性により、不適切な認証情報を持つリモートミニオンが、細工されたミニオンIDを使用してマスターに認証できます（bsc#1062462）。

  - CVE-2017-14696：特別に細工された認証リクエストを使用して、リモートのサービス拒否を強制することが可能でした。（bsc#1062464）

更新パッケージには、セキュリティ関連以外の修正も含まれています。詳細については、アドバイザリを参照してください。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

SaltStack による報告：

SaltStackのminion id検証におけるディレクトリトラバーサルの脆弱性。間違った認証情報を持っているリモートミニオンが、細工したミニオンIDを介してマスターに認証される可能性があります。セキュリティ上の欠陥を発見した功績: Julian Brost（julian@0x4a42.net）。注意: この脆弱性は、CVE-2017-12791の修正が不完全なために存在します。

特別に細工された認証リクエストを使用したリモートサービス拒否。セキュリティ上の欠陥を発見した功績: Julian Brost（julian@0x4a42.net）

Salt が2017.7.2に更新され、さまざまなバグやセキュリティ問題も修正されています。

完全な変更ログについては、https://docs.saltstack.com/en/develop/topics/releases/2017.7.2.htmlを参照してください。

キャッシュサイドチャネル攻撃の軽減：

  - CVE-2017-14695: minion idの検証中のディレクトリトラバーサルが修正されました。（boo#1062462）

  - CVE-2017-14696: 特別に細工された認証リクエストによるリモートのサービス拒否が修正されました。
    （boo#1062464）

セキュリティ以外の修正された問題：

  - ロービルドのビルド時に_version.pyを生成できる可能性を追加します：
    https://github.com/saltstack/salt/pull/43955

  - salt target-typeフィールドが、既存のjidに対して「String」を返し、存在しないjidに対しては空の「Array」を返す問題を修正します。（問題#1711）

  -  多数の関数が同時に実行されている場合にminionのリソースが枯渇する問題を修正しました（boo#1059758）

  - 古いバージョンのsystemdのsalt-master.serviceから「TasksTask」属性を削除します（boo#985112）

  -カスタムSUSE salt-master.serviceファイルを提供します。

  - Saltにより報告された誤ったバージョンを修正します（boo#1061407）

  - list_pkgs：返される属性選択のパラメーターを追加します（boo#1052264）

  - zypperおよびyum list_pkgs機能に対する残りを追加しました

  -ユーザーのホームディレクトリを取得するために「~」文字を使用する代わりに$HOMEを使用します（ boo#1042749）

Salt が2017.7.2に更新され、さまざまなバグやセキュリティ問題も修正されています。

詳細な変更ログについては、次のリソースを参照してください：
https://docs.saltstack.com/en/develop/topics/releases/2017.7.2.html https://docs.saltstack.com/en/develop/topics/releases/2017.7.1.html https://docs.saltstack.com/en/develop/topics/releases/2017.7.0.html

キャッシュサイドチャネル攻撃の軽減：

  - CVE-2017-14695: minion idの検証中のディレクトリトラバーサルが修正されました。（boo#1062462）

  - CVE-2017-14696: 特別に細工された認証リクエストによるリモートのサービス拒否が修正されました。
    （boo#1062464）

  - CVE-2017-12791: 細工されたミニオンIDにより、Salt-masterでディレクトリトラバーサルが発生する可能性がありました（boo#1053955）

セキュリティ以外の修正された問題：

  - ロービルドのビルド時に_version.pyを生成できる可能性を追加します：
    https://github.com/saltstack/salt/pull/43955

  - salt target-typeフィールドが、既存のjidに対して「String」を返し、存在しないjidに対しては空の「Array」を返す問題を修正します。 （問題#1711）

  -  多数の関数が同時に実行されている場合にminionのリソースが枯渇する問題を修正しました（boo#1059758）

  - 古いバージョンのsystemdのsalt-master.serviceから「TasksTask」属性を削除します（boo#985112）

  -カスタムSUSE salt-master.serviceファイルを提供します。

  - Saltにより報告された誤ったバージョンを修正します（boo#1061407）

  - list_pkgs：返される属性選択のパラメーターを追加します（boo#1052264）

  - zypperおよびyum list_pkgs機能に対する残りを追加しました

  -ユーザーのホームディレクトリを取得するために「~」文字を使用する代わりに$HOMEを使用します（ boo#1042749）

  - マスターキャッシュディレクトリ全体の所有権をboo#1035914修正します。

  - SUSEシステム上の言語の設定を修正します（boo#1038855）

  - SUSEのos_familyグレインが誤っています - unittestを修正します（boo#1038855）

  - スリープ呼び出しを削除することでcherrypyを高速化します。

  - 明示的に推奨されているサードパーティランタイムパッケージを無効にします。（boo#1040886）

  - フォーマットエラーを修正します。（boo#1043111）

  - アップグレード中にクラッシュが発生した場合にRHEL6とSLES11システム（sysV）でsalt-minionを再起動するためのsalt-minionウォッチドッグを追加します。

  - procpsを依存関係として追加します。

  - バグ修正：将来の時刻に実行するようスケジュールされているジョブが、Salt minionに対して保留状態のままになります（boo#1036125）

  - SUSEのos_familyグレインが誤っています - unittestを修正します。
    （boo#1038855）

  - SUSEシステム上の言語の設定を修正します。（boo#1038855）

  - バグ修正：ミニオンIDのホスト名を「127」として使用できません。
    （Upstream）

  - バグ修正：CheppryPy APIハンドラーでのスリープ呼び出しを削除します。
    （Upstream）

  - タイムゾーンのコアグレイン定数を修正します。（boo#1032931）

  - Python 2.6の長さが0のエラーを阻止します。

  - バックポート後のzypperテストエラーを修正します。

  - patches/errataをインストールできるようにするための、ZypperおよびYumの実行およびステートモジュールに対するリファクタリング。

  - kwargsを介して「timeout」と「gather_job_timeout」を設定できるようにします。

  - Salt Cloudの欠落しているブートストラップスクリプトを追加します。
    （boo#1032452）

  - Raetプロトコルがサポートされなくなりました。（boo#1020831）

  - 修正：欠落している/var/cache/salt/cloudディレクトリを追加します。
    （boo#1032213）

  - saltユーザー環境の準備をクリーンアップします。（boo#1027722）

  - 修正：キャッシュディレクトリ作成での競合状態。

  - 修正：/var/log/salt/minionがlogrotateに失敗します。（boo#1030009）

  - 修正：master_tops拡張の結果が相互に上書きされます。（boo#1030073）

  - 「manage.up」と「manage.status」のカスタムタイムアウトを設定できるようにします。

  - saltホームディレクトリの移行の修正を維持します。
    （boo#1022562）

  -RHELでのsalt-minionの更新を修正します。（boo#1022841）

  -特定のジョブキャッシュパスが存在しない場合に発生する「OSError」例外を防止します。（boo#1023535）

リモートの Ubuntu 16.04 ESM ホストには、USN-4769-1のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 2014.1.10 以前の Salt (別名 SaltStack) の複数の詳細不明な脆弱性により、ローカルユーザーが、(1) seed.py、(2) salt-ssh、(3) salt-cloud の一時ファイル作成に関連するベクトルで詳細不明な影響を与える可能性があります。(CVE-2014-3563)

  - 2015.5.5 より前の salt が git のユーザー名とパスワードをログに漏洩します。(CVE-2015-6918)

  - salt の 2015.5.6 以前の、2015.5.x2015.8.1以前の 2015.8.x の win_useradd、salt-cloud、Linode ドライバーは、デバッグログにパスワード情報を漏洩します。(CVE-2015-6941)

  - SaltStack Salt の 2016.11.7 より前、2017.7.1より前の 2017.7.x のミニオン ID 検証でのディレクトリトラバーサル脆弱性により、不適切な認証情報を持つリモートミニオンが、細工されたミニオン ID を使用してマスターに認証される可能性があります。(CVE-2017-12791)

  - SaltStack Salt の 2016.3.8 より前、2016.11.8より前の、2016.11.x2017.7.2より前の 2017.7.x のミニオン ID 検証でのディレクトリトラバーサル脆弱性により、不適切な認証情報を持つリモートミニオンが、細工されたミニオン ID を使用してマスターに認証される可能性があります。注意:  この脆弱性は、CVE-2017-12791の修正が不完全なために存在します。(CVE-2017-14695) 

  - SaltStack Salt の 2016.3.8より前、2016.11.8より前の、2016.11.x2017.7.2より前の 2017.7.x では、リモートの攻撃者が、細工された認証リクエストでサービス拒否を引き起こす可能性があります。(CVE-2017-14696)

  - 2017.7.8より前の SaltStack Salt および 2018.3.3 より前の 2018.3.x の salt-api にディレクトリトラバーサルの脆弱性があるため、リモートの攻撃者が、サーバーに存在するファイルを特定する可能性があります。(CVE-2018-15750)

  - 2017.7.8 より前の SaltStack および 2018.3.3 より前 2018.3.x により、リモートの攻撃者が salt-api(netapi) を介して認証をバイパスし、任意のコマンドを実行する可能性があります。(CVE-2018-15751)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
109293	openSUSEセキュリティ更新プログラム：salt（openSUSE-2018-388）	Nessus	SuSE Local Security Checks	2018/4/24	2021/1/19	critical
105480	SUSE SLES11セキュリティ更新プログラム：Salt（SUSE-SU-2017:3381-1）	Nessus	SuSE Local Security Checks	2017/12/28	2021/1/19	critical
104759	FreeBSD: salt -- 複数の脆弱性（50127e44-7b88-4ade-8e12-5d57320823f1）	Nessus	FreeBSD Local Security Checks	2017/11/27	2021/1/4	critical
104086	openSUSEセキュリティ更新プログラム：salt（openSUSE-2017-1182）	Nessus	SuSE Local Security Checks	2017/10/23	2021/1/19	critical
104087	openSUSEセキュリティ更新プログラム：salt（openSUSE-2017-1183）	Nessus	SuSE Local Security Checks	2017/10/23	2021/1/19	critical
183538	Ubuntu 16.04 ESM: Saltの脆弱性 (USN-4769-1)	Nessus	Ubuntu Local Security Checks	2023/10/20	2024/8/27	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical