CVE-2016-2785
KrytyczneStreszczenie
Puppet Server przed wersją 2.3.2 oraz Ruby puppetmaster w Puppet 4.x przed wersją 4.4.2 i Puppet Agent przed wersją 1.4.2 mogą pozwolić zdalnym atakującym na obejście zamierzonych ograniczeń dostępu w auth.conf poprzez wykorzystanie nieprawidłowego dekodowania URL.
Ocena ryzyka
Organizacja może być narażona na nieautoryzowany dostęp do zasobów, co może prowadzić do poważnych naruszeń bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację Puppet Server do wersji 2.3.2 lub nowszej oraz Puppet 4.x do wersji 4.4.2 i Puppet Agent do wersji 1.4.2 lub nowszej, aby zniwelować tę podatność.
Oryginalny opis (angielski, źródło NVD)
Puppet Server before 2.3.2 and Ruby puppetmaster in Puppet 4.x before 4.4.2 and in Puppet Agent before 1.4.2 might allow remote attackers to bypass intended auth.conf access restrictions by leveraging incorrect URL decoding.