根据其自我报告的版本号，远程主机上的 Puppet 安装受到多个漏洞的影响：- 由于不安全的 YAML 反序列化，MCollective 插件中存在远程代码执行漏洞。未经身份验证的远程攻击者可利用此问题绕过身份验证并执行任意命令。(CVE-2017-2292, CVE-2017-2295) - 由于不安全的默认配置，MCollective 插件中存在任意数据包安装漏洞。未经身份验证的远程攻击者可利用此问题，在所有托管的代理上安装或删除数据包。(CVE-2017-2293) - 由于不安全存储服务器私钥，导致 MCollective 插件中存在信息泄露漏洞。未经身份验证的远程攻击者可利用问题，查看敏感私钥。(CVE-2017-2294) - 在标记的 RBAC 访问令牌中存在身份验证绕过漏洞。未经身份验证的攻击者可利用此问题，绕过身份验证，并对配置为使用标记的 RBAC 访问令牌的用户执行任意操作。在 Puppet Enterprise 2016.4.5 和 2017.2.1 中已经修复该问题。这仅影响具有标记令牌的用户，但令牌在默认情况下并非如此。(CVE-2017-2297)

已发现从代理发送到 Puppet 配置管理系统中服务器的数据的无限制 YAML 反序列化可能导致执行任意代码。请注意，此修复破坏了与 3.2.2 之前的 Puppet 代理的向后兼容性，并且没有安全的方法可以还原。这会影响在 Debian wheezy 上运行的 puppet 代理；建议升级至 wheezy-backports 中附带的 puppet 版本。

不安全的 YAML 反序列化：

Puppet 4.10.1 之前的版本将使用攻击者指定的格式，断网反序列化数据（在此案例中是从代理到服务器）。这可用来以不安全的方式，强制执行 YAML 反序列化，进而导致远程代码执行。此变更在网络上时，会将数据格式限制为 PSON 或安全解码的 YAML。(CVE-2017-2295)

Puppet 4.10.1 之前的版本将使用攻击者指定的格式，断网反序列化数据（在此案例中是从代理到服务器）。这可用来以不安全的方式，强制执行 YAML 反序列化，进而导致远程代码执行。对于 Debian 7“Wheezy”，这些问题已在版本 2.7.23-1~deb7u4 中通过在客户端上启用 PSON 序列化并拒绝服务器上的非 PSON 格式而修复。建议您升级 puppet 程序包。请确保在更新服务器之前先更新所有客户端，否则旧的客户端将无法连接到服务器。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

更新现在可用于 Red Hat Satellite。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Red Hat Satellite 是基于 Linux 基础架构的系统管理工具。它允许通过单一集中化工具配置、远程管理和监控多项 Linux 部署。此次更新为 Red Hat Enterprise Linux 7 Satellite 服务器提供 Satellite 6.3 程序包。有关 Satellite 6.3 提供的新功能的完整列表，请参阅“参考”部分中链接的版本说明。查看 Satellite 6 安装指南，获取详细的 Satellite 6.3 新环境安装指导，或者查看 Satellite 6 升级和更新指南，获取详细的 Satellite 6 旧版本升级指导。建议所有需要 Satellite 版本 6.3 的用户安装这些新的程序包。安全修复：* V8：整数溢出导致 Zone::New 缓冲区溢出 (CVE-2016-1669) * rubygem-will_paginate: XSS 漏洞 (CVE-2013-6459) * foreman：通过 ‘belongs_to’ 关联至 Organization 的模块不会验证关联是否属于该 Organization (CVE-2014-8183) * foreman：预制模板检查暴露敏感控制器信息 (CVE-2016-3693) * pulp：对 NSS DB 密码和种子不安全使用 bash $RANDOM (CVE-2016-3704) * foreman：通过 Organization 和 Locations API 提升特权 API (CVE-2016-4451) * foreman：在 discovery-debug 内，以明文显示根密码 (CVE-2016-4996) * foreman：Foreman 中的持久型 XSS 远程执行插件 (CVE-2016-6319) * foreman：通过名称中含 HTML 的 organization/location 储存 XSS (CVE-2016-8639) * katello-debug：由于使用可预测的文件名而可能遭受软链接攻击 (CVE-2016-9595) * rubygem-hammer_cl：没有验证 API 服务器的 SSL 证书 (CVE-2017-2667) * foreman：图像密码泄露 (CVE-2017-2672) * pulp：Pulp-qpid-ssl-cfg 中的 CA 密钥泄露 (CVE-2016-3696) * foreman：预制模板预览中存在信息泄露 (CVE-2016-4995) * foreman-debug：缺少敏感信息混淆 (CVE-2016-9593) 有关此安全问题的详细信息，包括其影响、CVSS 分数和其他相关信息，请参阅列于“参考”部分的 CVE 页面。Red Hat 在此感谢 Randy Barlow (RedHat) 报告 CVE-2016-3704，感谢 Sander Bos 报告 CVE-2016-3696。CVE-2014-8183 问题由 Eric Helms (Red Hat) 发现；CVE-2016-3693 和 CVE-2016-4995 问题由 Dominic Cleal (Red Hat) 发现；CVE-2016-4451 和 CVE-2016-6319 问题由 Marek Hulan (Red Hat) 发现；CVE-2016-4996 问题由 Thom Carlin (Red Hat) 发现；CVE-2016-8639 问题由 Sanket Jagtap (Red Hat) 发现；CVE-2016-9595 问题由 Evgeni Golov (Red Hat) 发现；CVE-2017-2667 问题由 Tomas Strachota (Red Hat)发现；CVE-2016-9593 问题由 Pavel Moravec (Red Hat) 发现。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Puppet 4.10.1 之前的版本将使用攻击者指定的格式，断网反序列化数据（在此案例中是从代理到服务器）。这可用来以不安全的方式，强制执行 YAML 反序列化，进而导致远程代码执行。此变更在网络上时，会将数据格式限制为 PSON 或安全解码的 YAML。(CVE-2017-2295)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 Ubuntu 16.04 ESM 主机上安装的多个程序包受到 USN-4804-1 公告中提及的多个漏洞影响。

  - 在 Puppet Agent 的早期版本中，可以安装具有全局可写权限的模块。
    已在 Puppet Agent 5.3.4 和 1.10.10 中修复此漏洞。(CVE-2017-10689)

  - Puppet 4.10.1 之前的版本将使用攻击者指定的格式，断网反序列化数据（在此案例中是从代理到服务器）。这可用来以不安全的方式，强制执行 YAML 反序列化，进而导致远程代码执行。此变更在网络上时，会将数据格式限制为 PSON 或安全解码的 YAML。(CVE-2017-2295)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Dennis Rowe 发现 Puppet 未能正确处理搜索路径。本地攻击者可能利用此问题执行任意代码。(CVE-2014-3248)

发现 Puppet 未能正确处理 YAML 反序列化。远程攻击者可能利用此问题在主机上执行任意代码。此更新无法兼容低于 3.2.2 版本的代理。(CVE-2017-2295).

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行了自动清理和排版。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
129755	Puppet Enterprise < 2016.4.5 / 2016.5.x / 2017.1.x 多个漏洞	Nessus	CGI abuses	2019/10/9	2019/10/17	critical
100432	Debian DSA-3862-1：puppet - 安全更新	Nessus	Debian Local Security Checks	2017/5/26	2021/1/11	high
101002	Amazon Linux AMI：puppet3 (ALAS-2017-849)	Nessus	Amazon Linux Local Security Checks	2017/6/23	2018/4/18	high
101211	Debian DLA-1012-1：puppet 安全更新	Nessus	Debian Local Security Checks	2017/7/5	2021/1/11	high
107053	RHEL 7：Satellite Server (RHSA-2018:0336)	Nessus	Red Hat Local Security Checks	2018/2/28	2025/3/21	high
221202	Linux Distros 未修补的漏洞: CVE-2017-2295	Nessus	Misc.	2025/3/4	2025/3/4	high
183709	Ubuntu 16.04 ESM：Puppet 漏洞 (USN-4804-1)	Nessus	Ubuntu Local Security Checks	2023/10/23	2025/2/19	high
100632	Ubuntu 14.04 LTS：Puppet 漏洞 (USN-3308-1)	Nessus	Ubuntu Local Security Checks	2017/6/6	2025/2/18	critical

检测

插件搜索

critical

high

high

high

high

high

high

critical