Описание
Уязвимость системы управления конфигурациями и удалённого выполнения операций Salt связана с отсутствием мер по очистке входных данных. Эксплуатация уязвимости может позволить нарушителю повысить привилегии и выполнить произвольные команды
Вендор
Novell Inc.
ООО «Ред Софт»
Fedora Project
SaltStack, Inc
Наименование ПО
openSUSE Tumbleweed
РЕД ОС
SUSE Linux Enterprise Micro
SUSE Manager Retail Branch Server
SUSE Manager Proxy
SUSE Manager Server
SUSE Enterprise Storage
SUSE Linux Enterprise High Performance Computing
SUSE Manager Server Module
Fedora
Suse Linux Enterprise Desktop
Suse Linux Enterprise Server
SUSE Linux Enterprise Server for SAP Applications
SUSE Linux Enterprise Module for Basesystem
OpenSUSE Leap
SUSE Linux Enterprise Module for Server Applications
SUSE Manager Client Tools
SUSE Manager Proxy Module
Salt
Fedora EPEL
SUSE Linux Micro
Версия ПО
- (openSUSE Tumbleweed)
7.3 (РЕД ОС)
5.1 (SUSE Linux Enterprise Micro)
5.2 (SUSE Linux Enterprise Micro)
4.3 (SUSE Manager Retail Branch Server)
4.3 (SUSE Manager Proxy)
4.3 (SUSE Manager Server)
7.1 (SUSE Enterprise Storage)
5.3 (SUSE Linux Enterprise Micro)
15 SP3-LTSS (SUSE Linux Enterprise High Performance Computing)
5.4 (SUSE Linux Enterprise Micro)
5.5 (SUSE Linux Enterprise Micro)
4.3 (SUSE Manager Server Module)
15 SP4-ESPOS (SUSE Linux Enterprise High Performance Computing)
15 SP4-LTSS (SUSE Linux Enterprise High Performance Computing)
41 (Fedora)
15 SP6 (Suse Linux Enterprise Desktop)
15 SP6 (Suse Linux Enterprise Server)
15 SP6 (SUSE Linux Enterprise Server for SAP Applications)
15 SP6 (SUSE Linux Enterprise High Performance Computing)
15 SP6 (SUSE Linux Enterprise Module for Basesystem)
15.6 (OpenSUSE Leap)
15 SP6 (SUSE Linux Enterprise Module for Server Applications)
15 SP5-LTSS (SUSE Linux Enterprise High Performance Computing)
15 SP5-ESPOS (SUSE Linux Enterprise High Performance Computing)
12 (SUSE Manager Client Tools)
15 (SUSE Manager Client Tools)
for RHEL, Liberty and Clones 9-CLIENT-TOOLS (SUSE Manager Client Tools)
for SLE Micro 5 (SUSE Manager Client Tools)
4.3 (SUSE Manager Proxy Module)
42 (Fedora)
от 3006.0 до 3006.12 (Salt)
от 3007.0 до 3007.4 (Salt)
epel9 (Fedora EPEL)
6.0 (SUSE Linux Micro)
6.1 (SUSE Linux Micro)
Тип ПО
Операционная система
Прикладное ПО информационных систем
Сетевое средство
Операционные системы и аппаратные платформы
Novell Inc. openSUSE Tumbleweed -
ООО «Ред Софт» РЕД ОС 7.3
Fedora Project Fedora 41
Novell Inc. Suse Linux Enterprise Desktop 15 SP6
Novell Inc. Suse Linux Enterprise Server 15 SP6
Novell Inc. SUSE Linux Enterprise Server for SAP Applications 15 SP6
Novell Inc. OpenSUSE Leap 15.6
Fedora Project Fedora 42
Novell Inc. SUSE Linux Micro 6.0
Novell Inc. SUSE Linux Micro 6.1
Уровень опасности уязвимости
Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,5)
Средний уровень опасности (базовая оценка CVSS 3.1 составляет 6,7)
Возможные меры по устранению уязвимости
В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года.
Использование рекомендаций:
Для Salt:
https://docs.saltproject.io/en/3007/topics/releases/3007.4.html
https://docs.saltproject.io/en/3006/topics/releases/3006.12.html
Для РедОС:
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
Для Fedora 41:
https://bodhi.fedoraproject.org/updates/FEDORA-2025-31a7eefb8f
Для Fedora 42:
https://bodhi.fedoraproject.org/updates/FEDORA-2025-5f1e820ece
Для Fedora EPEL:
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2025-56a6ede4ef
Для программных продуктов Novell Inc.:
https://www.suse.com/security/cve/CVE-2025-22237.html
Статус уязвимости
Подтверждена производителем
Наличие эксплойта
Данные уточняются
Информация об устранении
Уязвимость устранена
Ссылки на источники
Идентификаторы других систем описаний уязвимостей
- CVE
EPSS
Процентиль: 8%
0.00029
Низкий
6.7 Medium
CVSS3
6.5 Medium
CVSS2
Связанные уязвимости
CVSS3: 6.7
ubuntu
7 месяцев назад
An attacker with access to a minion key can exploit the 'on demand' pillar functionality with a specially crafted git url which could cause and arbitrary command to be run on the master with the same privileges as the master process.
CVSS3: 6.7
nvd
7 месяцев назад
An attacker with access to a minion key can exploit the 'on demand' pillar functionality with a specially crafted git url which could cause and arbitrary command to be run on the master with the same privileges as the master process.
CVSS3: 6.7
debian
7 месяцев назад
An attacker with access to a minion key can exploit the 'on demand' pi ...
EPSS
Процентиль: 8%
0.00029
Низкий
6.7 Medium
CVSS3
6.5 Medium
CVSS2