Nel fine settimana tra il 2 e il 3 maggio sono caduti, uno dopo l’altro, i server di LineageOS, quelli della piattaforma di blogging Ghost e un server del registro dei certificati di DigiCert. Il punto d’ingresso era lo stesso: Salt, lo strumento di SaltStack per automatizzare la configurazione dei server, colpito da due vulnerabilità corrette appena il 29 aprile.
In un’installazione Salt il master comanda tutti i minion, cioè i server gestiti. Le due falle, scoperte da un’azienda di sicurezza finlandese, colpiscono proprio il master. La CVE-2020-11651 è un aggiramento dell’autenticazione: alcune funzioni accessibili senza login permettono di ottenere la chiave dell’utente root del master e di inviare comandi ai minion. La CVE-2020-11652 è un directory traversal che consente di leggere e scrivere file fuori dalle cartelle previste.
Combinate, danno a un attaccante remoto e senza credenziali il controllo del master e quindi di tutti i server collegati, con privilegi di root. Le porte coinvolte sono la 4505 e la 4506, e le scansioni su Internet contano oltre 6.000 master esposti pubblicamente.
Tre giorni tra la patch e gli attacchi
In tutti e tre i casi gli attaccanti hanno installato miner di criptovaluta. Ghost se n’è accorto perché i processori sono andati al massimo e i sistemi si sono sovraccaricati. LineageOS ha precisato che chiavi di firma, build e codice sorgente non sono stati toccati. DigiCert ha dovuto considerare compromessa una chiave usata per firmare i timestamp di Certificate Transparency e dismettere quel registro.
Aggiorna Salt alla 3000.2 o alla 2019.2.4; per le versioni più vecchie esistono patch dedicate. Le porte 4505 e 4506 del master non devono mai essere esposte su Internet: limitane l’accesso ai soli minion, con firewall o VPN.
Se il tuo master era raggiungibile dall’esterno, l’unica scelta prudente è partire dal presupposto peggiore. Consideralo compromesso, controlla processi e cron sospetti su master e minion, cerca miner e ruota chiavi e password. Poi rivedi il modo in cui aggiorni gli strumenti di gestione. Lo strumento che controlla tutti i tuoi server è anche quello che un attaccante desidera di più, e questa volta il margine è stato di tre giorni.
