已在集中化配置管理系统 puppet 中发现多个漏洞。通用漏洞和暴露计划识别以下问题：

- CVE-2013-4761“resource_type”服务（默认禁用）可用于使 puppet 从 puppet 主控端的文件系统上传任意 Ruby 代码。

- CVE-2013-4956 Puppet 模块工具安装的模块可能具有弱权限，从而可能允许本地用户读取或修改它们。

稳定发行版本 (wheezy) 已更新到 2.7.33 版本的 puppet。此版本包括与 wheezy 中 puppet 相关的所有以前 DSA 的修补程序。在此版本中，puppet 报告格式现在已正确报告为版本 3。

预期未来 puppet 的 DSA 将更新到仅修复补丁的新 2.7 分支版本。

此公告未更新旧稳定发行版本 (squeeze)：截至这个时候尚无针对 CVE-2013-4761 的补丁，且程序包不受 CVE-2013-4956 的影响。

检测

Debian DSA-2761-1：puppet - 多个漏洞

medium Nessus 插件 ID 70002

未找到变更日志