CVE-2015-7330
WysokieStreszczenie
Puppet Enterprise w wersji 2015.3 przed 2015.3.1 umożliwia zdalnym atakującym ominięcie mechanizmu ochrony białej listy hostów poprzez wykorzystanie protokołu komunikacyjnego Puppet.
Ocena ryzyka
Ominięcie mechanizmu ochrony białej listy może prowadzić do nieautoryzowanego dostępu do systemu, co stwarza poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację Puppet Enterprise do wersji 2015.3.1 lub nowszej, aby zabezpieczyć się przed tym zagrożeniem.
Inne podatności w Puppet Enterprise
Zobacz wszystkie- CVE-2017-2294Wysokie
Wersje Puppet Enterprise przed 2016.4.5 i 2017.2.1 nie oznaczały prywatnych kluczy serwera MCollective jako wrażliwych, co mogło prowadzić do ich logowania i przechowywania w PuppetDB.
- CVE-2025-5459Wysokie
Użytkownik z określonymi uprawnieniami do edycji grup węzłów oraz specjalnie spreparowanym parametrem klasy może wykonać polecenia jako root na głównym hoście. Podatność dotyczy Puppet Enterprise w wersjach od 2018.1.8 do 2023.8.3 oraz 2025.3, a została naprawiona w wersjach 2023.8.4 i 2025.4.0.
Oryginalny opis (angielski, źródło NVD)
Puppet Enterprise 2015.3 before 2015.3.1 allows remote attackers to bypass a host whitelist protection mechanism by leveraging the Puppet communications protocol.