CVE-2025-10360
ŚrednieCVSS 6.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
W Puppet Enterprise w wersjach 2025.4.0 i 2025.5 klucz szyfrujący używany do szyfrowania zawartości bazy danych Infra Assistant nie został wykluczony z plików zbieranych przez kopię zapasową Puppet. Klucz jest obecny w systemie tylko wtedy, gdy użytkownik posiada licencję Puppet Enterprise Advanced i włączył funkcję Infra Assistant. Klucz służy do szyfrowania klucza API konta dostawcy AI. Podatność naprawiono w wersji 2025.6, a notatki do wydania zawierają kroki zaradcze dla użytkowników starszych wersji.
Ocena ryzyka
Klucz szyfrujący może wyciec wraz z kopią zapasową, co umożliwi odszyfrowanie klucza API dostawcy AI i potencjalne nieautoryzowane użycie konta. Stanowi to zagrożenie dla poufności danych uwierzytelniających.
Rekomendacja
Zaktualizuj Puppet Enterprise do wersji 2025.6 lub zastosuj kroki zaradcze opisane w notatkach do wydania 2025.6. Chroń kopie zapasowe i rozważ rotację klucza API dostawcy AI.
Inne podatności w Puppet Enterprise
Zobacz wszystkie- CVE-2017-2294Wysokie
Wersje Puppet Enterprise przed 2016.4.5 i 2017.2.1 nie oznaczały prywatnych kluczy serwera MCollective jako wrażliwych, co mogło prowadzić do ich logowania i przechowywania w PuppetDB.
- CVE-2015-7330Wysokie
Puppet Enterprise w wersji 2015.3 przed 2015.3.1 umożliwia zdalnym atakującym ominięcie mechanizmu ochrony białej listy hostów poprzez wykorzystanie protokołu komunikacyjnego Puppet.
- CVE-2026-85979Wysokie
Puppet Enterprise w wersjach 2023.8.0-2023.8.10 oraz 2025.0.0-2025.11.2 zawiera podatność na wstrzyknięcie poleceń. Uwierzytelniony użytkownik z uprawnieniami administracyjnymi Puppet może wykonać dowolne polecenia powłoki z uprawnieniami roota.
- CVE-2025-5459Wysokie
Użytkownik z określonymi uprawnieniami do edycji grup węzłów oraz specjalnie spreparowanym parametrem klasy może wykonać polecenia jako root na głównym hoście. Podatność dotyczy Puppet Enterprise w wersjach od 2018.1.8 do 2023.8.3 oraz 2025.3, a została naprawiona w wersjach 2023.8.4 i 2025.4.0.
Oryginalny opis (angielski, źródło NVD)
In Puppet Enterprise versions 2025.4.0 and 2025.5, the encryption key used for encrypting content in the Infra Assistant database was not excluded from the files gathered by Puppet backup. The key is only present on the system if the user has a Puppet Enterprise Advanced license and has enabled the Infra Assistant feature. The key is used for encrypting one particular bit of data in the Infra Assistant database: the API key for their AI provider account. This has been fixed in Puppet Enterprise version 2025.6, and release notes for 2025.6 have remediation steps for users of affected versions who can't update to the latest version.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS