Podatności Puppet Enterprise
4 znanych podatności CVE w Puppet Enterprise, przetłumaczonych i ocenionych.
- CVE-2017-2294Wysokie
Wersje Puppet Enterprise przed 2016.4.5 i 2017.2.1 nie oznaczały prywatnych kluczy serwera MCollective jako wrażliwych, co mogło prowadzić do ich logowania i przechowywania w PuppetDB.
- CVE-2015-7330Wysokie
Puppet Enterprise w wersji 2015.3 przed 2015.3.1 umożliwia zdalnym atakującym ominięcie mechanizmu ochrony białej listy hostów poprzez wykorzystanie protokołu komunikacyjnego Puppet.
- CVE-2026-85979Wysokie
Puppet Enterprise w wersjach 2023.8.0-2023.8.10 oraz 2025.0.0-2025.11.2 zawiera podatność na wstrzyknięcie poleceń. Uwierzytelniony użytkownik z uprawnieniami administracyjnymi Puppet może wykonać dowolne polecenia powłoki z uprawnieniami roota.
- CVE-2025-5459Wysokie
Użytkownik z określonymi uprawnieniami do edycji grup węzłów oraz specjalnie spreparowanym parametrem klasy może wykonać polecenia jako root na głównym hoście. Podatność dotyczy Puppet Enterprise w wersjach od 2018.1.8 do 2023.8.3 oraz 2025.3, a została naprawiona w wersjach 2023.8.4 i 2025.4.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS