CVE-2025-5459
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
Użytkownik z określonymi uprawnieniami do edycji grup węzłów oraz specjalnie spreparowanym parametrem klasy może wykonać polecenia jako root na głównym hoście. Podatność dotyczy Puppet Enterprise w wersjach od 2018.1.8 do 2023.8.3 oraz 2025.3, a została naprawiona w wersjach 2023.8.4 i 2025.4.0.
Ocena ryzyka
Osoba z ograniczonymi uprawnieniami może uzyskać pełną kontrolę nad głównym hostem, co prowadzi do całkowitej kompromitacji systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację Puppet Enterprise do wersji 2023.8.4 lub 2025.4.0 oraz ograniczenie uprawnień do edycji grup węzłów.
Inne podatności w Puppet Enterprise
Zobacz wszystkie- CVE-2017-2294Wysokie
Wersje Puppet Enterprise przed 2016.4.5 i 2017.2.1 nie oznaczały prywatnych kluczy serwera MCollective jako wrażliwych, co mogło prowadzić do ich logowania i przechowywania w PuppetDB.
- CVE-2015-7330Wysokie
Puppet Enterprise w wersji 2015.3 przed 2015.3.1 umożliwia zdalnym atakującym ominięcie mechanizmu ochrony białej listy hostów poprzez wykorzystanie protokołu komunikacyjnego Puppet.
- CVE-2026-85979Wysokie
Puppet Enterprise w wersjach 2023.8.0-2023.8.10 oraz 2025.0.0-2025.11.2 zawiera podatność na wstrzyknięcie poleceń. Uwierzytelniony użytkownik z uprawnieniami administracyjnymi Puppet może wykonać dowolne polecenia powłoki z uprawnieniami roota.
- CVE-2025-10360Średnie
W Puppet Enterprise w wersjach 2025.4.0 i 2025.5 klucz szyfrujący używany do szyfrowania zawartości bazy danych Infra Assistant nie został wykluczony z plików zbieranych przez kopię zapasową Puppet. Klucz jest obecny w systemie tylko wtedy, gdy użytkownik posiada licencję Puppet Enterprise Advanced i włączył funkcję Infra Assistant. Klucz służy do szyfrowania klucza API konta dostawcy AI. Podatność naprawiono w wersji 2025.6, a notatki do wydania zawierają kroki zaradcze dla użytkowników starszych wersji.
Oryginalny opis (angielski, źródło NVD)
A user with specific node group editing permissions and a specially crafted class parameter could be used to execute commands as root on the primary host. It affects Puppet Enterprise versions 2018.1.8 through 2023.8.3 and 2025.3 and has been resolved in versions 2023.8.4 and 2025.4.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS