CVE-2016-2786
KrytyczneStreszczenie
Komponent pxp-agent w Puppet Enterprise 2015.3.x przed wersją 2015.3.3 oraz Puppet Agent 1.3.x przed wersją 1.3.6 nieprawidłowo weryfikuje certyfikaty serwera, co może umożliwić zdalnym atakującym podszywanie się pod brokerów i wykonywanie dowolnych poleceń za pomocą spreparowanego certyfikatu.
Ocena ryzyka
Podatność ta stwarza ryzyko, że atakujący mogą uzyskać nieautoryzowany dostęp do systemów, co może prowadzić do poważnych naruszeń bezpieczeństwa i utraty danych.
Rekomendacja
Zaleca się aktualizację do wersji Puppet Enterprise 2015.3.3 lub Puppet Agent 1.3.6, aby zapewnić prawidłową weryfikację certyfikatów serwera.
Oryginalny opis (angielski, źródło NVD)
The pxp-agent component in Puppet Enterprise 2015.3.x before 2015.3.3 and Puppet Agent 1.3.x before 1.3.6 does not properly validate server certificates, which might allow remote attackers to spoof brokers and execute arbitrary commands via a crafted certificate.