SaltStack Salt の認証迂回（CVE-2020-11651）― カタログが始まった日にまとめて載り、猶予は181日
サーバ群の設定を一括で配る仕組みの中枢で、認証を経ずに一部の機能へ到達できる項目です。カタログの初回登録日にまとめて載った層に属し、是正の猶予は約半年でした。説明の末尾に、基本的な対策をしていれば影響を受けないという異例の一文が置かれています。
脆弱性の基本情報
- CVE番号CVE-2020-11651
- 対象（ベンダー／製品）SaltStack Salt
- 悪用状況CISA KEV 掲載（実際の悪用を確認）
- 是正期限2022-05-03（米連邦民生機関・BOD 22-01）
要点
- サーバ群へ設定を配る仕組みの中枢で、呼び出しの検証が適切でなく、認証なしに一部の機能へ到達できるとされる項目です。
- トークンの取得や、配下のサーバでのコマンド実行に利用されうるとされています。
- 2021年11月3日の初回登録の層に属し、猶予は181日。同じ猶予の記録は2026年9月4日時点で当サイトが保持する1,694件のうち238件です。
- 説明の末尾に、基本的な指針と最良の慣行に従う利用者は影響を受けないという異例の一文が置かれています。
- この項目には分類（CWE）の記載がありません。同じ1,694件のうち175件（10.3%）が同様です。
1配る側に立つということ
Salt は、多数のサーバへ設定や命令をまとめて配るための仕組みです。中枢が、各サーバ上の受け手へ指示を送ります。カタログの説明によれば、この中枢の一部で呼び出しの検証が適切でなく、認証を経ないまま一部の機能へ到達できるとされます。到達した先で得られるのは、利用者のトークンや、配下のサーバでコマンドを実行する手段です。
設定を配る仕組みは、配れることが価値である一方、乗っ取られたときの到達範囲も配れる範囲と同じになります。
2初回登録という層
- 1カタログの開始2021年11月3日に、多数の項目がまとめて登録される
- 2猶予の設定この層の期限は約半年後（181日）に置かれる
- 3以後の運用個別に追加される項目は、猶予21日が標準になる
- 4現在の分布2026年9月4日時点で当サイトが保持する1,694件のうち、猶予181日は238件
この項目の猶予181日は、罰でも緩和でもなく、カタログが始まったときの一括登録に伴うものです。運用が定常化した後は21日が標準となり、1,025件がその値をとります。数字だけを見て「半年も猶予がある軽い項目」と読むと誤ります。いつ載ったかを確かめないと、期限の意味は取れません。
3説明に添えられた異例の一文
この項目の説明の末尾には、基本的な指針と最良の慣行に従う利用者は影響を受けない、という一文があります。カタログの説明は通常、何が起きうるかを述べて終わります。条件付きで影響を否定する書き方は珍しく、裏を返せば、この項目が効くのは中枢が到達可能な場所に置かれている場合だという読み方ができます。ただしカタログはその条件を具体的には書いていません。
4分類が空のまま載ることもある
この項目には CWE の記載がありません。同じ1,694件のうち175件（10.3%）が同様です。分類が無いと、同じ型の弱点を横断して探すことができず、個別に対処するほかありません。悪用の事実が先に確定し、分類は後から付くこともあります。載っていることと、整理されていることは別です。
なぜ重要か
設定を一括で配る仕組みは、配れる範囲がそのまま到達範囲になる。中枢が持つ権限の大きさと、それが置かれている場所の見えにくさは釣り合っていないことが多い。あわせて、期限の数字は「いつ載ったか」と組にして読む必要がある。初回登録の層と定常運用の層では、同じカタログでも猶予の意味が違う。
よくある質問（FAQ）
なぜ猶予が181日なのですか？
基本的な対策をしていれば安全なのですか？
CWEの記載がないのはなぜですか？
出典（一次情報）
本記事は下記の米国公式データに基づく独自整理です。正確・最新の内容、適用可否は必ず公式・ベンダーでご確認ください。
- CISA KEV Catalog（悪用確認済み一覧）
- NVD（CVE詳細・CVSS）
- This product uses data from the NVD API but is not endorsed or certified by the NVD. KEV データは CC0（パブリックドメイン）です。