Описание
Уязвимость компонента salt.auth.pki системы управления конфигурациями и удалённого выполнения операций Salt связана с недостатками процедуры аутентификации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти процесс аутентификации
Вендор
Novell Inc.
ООО «Ред Софт»
Fedora Project
SaltStack, Inc
Наименование ПО
openSUSE Tumbleweed
РЕД ОС
SUSE Linux Enterprise Server for SAP Applications
SUSE Linux Enterprise Micro
SUSE Manager Retail Branch Server
SUSE Manager Proxy
SUSE Manager Server
SUSE Enterprise Storage
Suse Linux Enterprise Server
SUSE Linux Enterprise High Performance Computing
SUSE Manager Server Module
Fedora
Suse Linux Enterprise Desktop
SUSE Linux Enterprise Module for Basesystem
OpenSUSE Leap
SUSE Linux Enterprise Module for Server Applications
SUSE Manager Client Tools
SUSE Linux Enterprise Module for Transactional Server
SUSE Manager Proxy Module
Salt
Fedora EPEL
SUSE Linux Enterprise Module for Systems Management
SUSE Linux Micro
Версия ПО
- (openSUSE Tumbleweed)
7.3 (РЕД ОС)
15 SP3 (SUSE Linux Enterprise Server for SAP Applications)
5.1 (SUSE Linux Enterprise Micro)
15 SP4 (SUSE Linux Enterprise Server for SAP Applications)
5.2 (SUSE Linux Enterprise Micro)
4.3 (SUSE Manager Retail Branch Server)
4.3 (SUSE Manager Proxy)
4.3 (SUSE Manager Server)
7.1 (SUSE Enterprise Storage)
5.3 (SUSE Linux Enterprise Micro)
15 SP3-LTSS (Suse Linux Enterprise Server)
15 SP3-LTSS (SUSE Linux Enterprise High Performance Computing)
15 SP5 (SUSE Linux Enterprise Server for SAP Applications)
5.4 (SUSE Linux Enterprise Micro)
5.5 (SUSE Linux Enterprise Micro)
4.3 (SUSE Manager Server Module)
15 SP4-ESPOS (SUSE Linux Enterprise High Performance Computing)
15 SP4-LTSS (SUSE Linux Enterprise High Performance Computing)
15 SP4-LTSS (Suse Linux Enterprise Server)
41 (Fedora)
15 SP6 (Suse Linux Enterprise Desktop)
15 SP6 (Suse Linux Enterprise Server)
15 SP6 (SUSE Linux Enterprise Server for SAP Applications)
15 SP6 (SUSE Linux Enterprise High Performance Computing)
15 SP6 (SUSE Linux Enterprise Module for Basesystem)
15.6 (OpenSUSE Leap)
15 SP6 (SUSE Linux Enterprise Module for Server Applications)
15 SP5-LTSS (Suse Linux Enterprise Server)
15 SP5-LTSS (SUSE Linux Enterprise High Performance Computing)
15 SP5-ESPOS (SUSE Linux Enterprise High Performance Computing)
12 (SUSE Manager Client Tools)
15 (SUSE Manager Client Tools)
15 SP6 (SUSE Linux Enterprise Module for Transactional Server)
for RHEL, Liberty and Clones 9-CLIENT-TOOLS (SUSE Manager Client Tools)
for SLE Micro 5 (SUSE Manager Client Tools)
4.3 (SUSE Manager Proxy Module)
42 (Fedora)
от 3006.0 до 3006.12 (Salt)
от 3007.0 до 3007.4 (Salt)
epel9 (Fedora EPEL)
15 SP7 (SUSE Linux Enterprise Module for Systems Management)
6.0 (SUSE Linux Micro)
6.1 (SUSE Linux Micro)
Тип ПО
Операционная система
Прикладное ПО информационных систем
Сетевое средство
Операционные системы и аппаратные платформы
Novell Inc. openSUSE Tumbleweed -
ООО «Ред Софт» РЕД ОС 7.3
Novell Inc. SUSE Linux Enterprise Server for SAP Applications 15 SP3
Novell Inc. SUSE Linux Enterprise Server for SAP Applications 15 SP4
Novell Inc. Suse Linux Enterprise Server 15 SP3-LTSS
Novell Inc. SUSE Linux Enterprise Server for SAP Applications 15 SP5
Novell Inc. Suse Linux Enterprise Server 15 SP4-LTSS
Fedora Project Fedora 41
Novell Inc. Suse Linux Enterprise Desktop 15 SP6
Novell Inc. Suse Linux Enterprise Server 15 SP6
Novell Inc. SUSE Linux Enterprise Server for SAP Applications 15 SP6
Novell Inc. OpenSUSE Leap 15.6
Novell Inc. Suse Linux Enterprise Server 15 SP5-LTSS
Fedora Project Fedora 42
Novell Inc. SUSE Linux Micro 6.0
Novell Inc. SUSE Linux Micro 6.1
Уровень опасности уязвимости
Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5,5)
Средний уровень опасности (базовая оценка CVSS 3.1 составляет 6,4)
Возможные меры по устранению уязвимости
В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года.
Использование рекомендаций:
Для Salt:
https://docs.saltproject.io/en/3007/topics/releases/3007.4.html
https://docs.saltproject.io/en/3006/topics/releases/3006.12.html
Для РедОС:
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
Для Fedora 41:
https://bodhi.fedoraproject.org/updates/FEDORA-2025-31a7eefb8f
Для Fedora 42:
https://bodhi.fedoraproject.org/updates/FEDORA-2025-a5d73a0399
Для Fedora EPEL:
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2025-56a6ede4ef
Для программных продуктов Novell Inc.:
https://www.suse.com/security/cve/CVE-2024-38825.html
Статус уязвимости
Подтверждена производителем
Наличие эксплойта
Данные уточняются
Информация об устранении
Уязвимость устранена
Ссылки на источники
Идентификаторы других систем описаний уязвимостей
- CVE
EPSS
Процентиль: 13%
0.00042
Низкий
6.4 Medium
CVSS3
5.5 Medium
CVSS2
Связанные уязвимости
CVSS3: 6.4
ubuntu
7 месяцев назад
The salt.auth.pki module does not properly authenticate callers. The "password" field contains a public certificate which is validated against a CA certificate by the module. This is not pki authentication, as the caller does not need access to the corresponding private key for the authentication attempt to be accepted.
CVSS3: 6.4
nvd
7 месяцев назад
The salt.auth.pki module does not properly authenticate callers. The "password" field contains a public certificate which is validated against a CA certificate by the module. This is not pki authentication, as the caller does not need access to the corresponding private key for the authentication attempt to be accepted.
CVSS3: 6.4
debian
7 месяцев назад
The salt.auth.pki module does not properly authenticate callers. The " ...
EPSS
Процентиль: 13%
0.00042
Низкий
6.4 Medium
CVSS3
5.5 Medium
CVSS2