【CVE-2020-16846】Saltstack未授权命令执行漏洞

漏洞官网地址：
https://www.saltstack.com/blog/on-november-3-2020-saltstack-publicly-disclosed-three-new-cves/
漏洞参考
https://www.bleepingcomputer.com/news/security/saltstack-reveals-new-critical-vulnerabilities-patch-now/

漏洞点是：python程序中调用suprecess函数是参数shell=True，这就导致攻击者可以注造注入命令，达到执行命令未授权执行命令的目的。本地测试实例如下：

漏洞细节：（网上有人diff的patch结果见下图）

漏洞影响范围：
shodan监控结果全球有6w+公网资产存在该漏洞，fofa查询30W+

漏洞POC：
暂时未见公开工具，出poc了及时测试

升级patch地址：（尽快升级不然有被用来挖矿风险）
https://gitlab.com/saltstack/open/salt-patches