来自上游的安全版本

https://groups.google.com/group/puppet-announce/browse_thread/thread/7ff8326dc79257a1

更新到 3.1.0，其中包含对 Systemd 的正确处理。您对更新的说明如下。

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

puppet 已更新，修复了 2.6.18 的多种漏洞和缺陷。

- (#19391) 查找指定节点名称的目录

- 不假设主控端支持 SSLv2

- 不要求 openssl 客户端失败时返回 0

- 显示 SSL 消息，以便我们可以匹配 regex

- 不假设 puppetbindir 已定义

- 删除不必要的 rubygems 需求

- 尝试降级主控端时从窗口运行 openssl

- 将相同 CVE 的测试分隔为单独的文件

- 修复 rest_authconfig_spec 中与顺序有关的测试失败

- 使用 Rack 时始终读取请求正文

- (#19392) (CVE-2013-1653) 修复接受测试以捕获 2.6 中未验证的模型

- (#19392) (CVE-2013-1653) 验证保存处理程序中的间接模型

- 针对 CVE 2013（1640、1652、1653、1654、2274、2275）的接受测试

- (#19531) (CVE-2013-2275) 仅允许报告从匹配 certname 的节点的保存

- (#19391) 向后移植 Request#remote? 方法

- (#8858) 显式设置 SSL 对等机验证模式。

- (#8858) 重构测试以使用真正的 HTTP 对象

- (#19392) (CVE-2013-1653) 验证传递到 indirector 的实例

- (#19391) (CVE-2013-1652) 不允许远程请求采用 use_node 编译器参数

- (#19151) 拒绝 SSLv2 SSL 握手和密码

- (#14093) 还原模板中的文件名的访问权限

- (#14093) 删除 TemplateWrapper 中的不安全属性

Moses Mendoza 报告：

在 Puppet 中发现的漏洞可允许经认证的客户端在对目录请求作出响应时，使主机执行任意代码。具体而言，Puppet 主控端必须在编译目录时调用“template”或“inline_template”函数才能利用该漏洞。

在 Puppet 中发现的漏洞可允许经认证的客户端连接至 Puppet 主控端，并执行未授权的操作。
具体而言，在给定有效证书和私钥的情况下，代理可从其不具备访问权限的主控端检索目录，或者对于支持缓存的任何由 Puppet 生成的数据，可使 Puppet 主控端的缓存中毒（例如目录、节点、事实和资源）。此漏洞的范围和严重性根据主控端的特定配置而各异：例如，是否使用 storeconfigs，版本号是多少，是否可访问缓存等等。

在 Puppet 中发现一个漏洞，可允许经认证的客户端在被配置为接受 kick 连接的代理上执行任意代码。Puppet 代理的默认配置中不存在此漏洞，但如果 Puppet 代理被配置为监听传入连接（“listen=true”）并且该代理的 auth.conf 被配置为允许访问“run”REST 端点，则客户端可构建能够执行任意代码的 HTTP 请求。Puppet 代理通常以根用户身份运行的事实加重了此问题的严重性。

在 Puppet 中发现一个漏洞，可允许向主控端协商连接的客户端将主控端的 SSL 协议降级为 SSLv2。已发现该协议有设计缺点。该问题仅影响运行 openSSL 较早版本（低于 1.0.0）的系统。更新的版本明确禁用了 SSLv2。

在 Puppet 中发现一个漏洞，可允许未经认证的客户端向 Puppet 主控端发送请求，从而导致其不安全地加载代码。尽管未报告任何恶意利用，但此漏洞可造成与 Rails CVE-2013-0156 中所述类似的问题。该漏洞仅影响运行 Ruby 1.9.3 和更高版本的 Puppet 主控端。

该漏洞对 Puppet 主控端 0.25.0 及更高版本存在影响。在默认情况下，auth.conf 允许任何经认证的节点提交有关任何其他节点的报告。这可导致合规性问题。已更改 auth.conf 的默认值。

根据其自我报告的版本号，远程主机上运行的 Puppet Open Source 或 Puppet Enterprise 版本存在以下漏洞：

- 一个漏洞，允许经认证的客户端在 Puppet 主控端上执行任意代码。
 (CVE-2013-1640)

- 一个漏洞，允许经认证的客户端连接到 Puppet 主控端并执行未经授权的操作。(CVE-2013-1652)

- 一个漏洞，允许中间人攻击者将 HTTPS 连接降级为使用 SSLv2。
 (CVE-2013-1654)

- 一个漏洞，允许经认证的节点提交任何其他节点的报告。此问题仅影响 Puppet 主控端 0.25.0 和更高版本。(CVE-2013-2275)

已发现 Puppet 受控端未正确处理非默认配置中的某些 kick 连接。经过认证的客户端中的攻击者可能利用此问题执行任意代码。(CVE-2013-1653)

已发现 Puppet 未正确处理某些目录请求。经过认证的客户端中的攻击者可能利用此问题在主控端上执行任意代码。(CVE-2013-1640)

已发现 Puppet 未正确处理某些客户端请求。经过认证的客户端中的攻击者可能利用此问题执行未经授权的操作。(CVE-2013-1652)

已发现 Puppet 未正确处理某些 SSL 连接。攻击者可能利用此问题降级与 SSLv2 之间的连接。(CVE-2013-1654)

已发现 Puppet 未正确处理已序列化的属性。经过认证的客户端中的攻击者可能利用此问题造成拒绝服务或执行任意代码。
(CVE-2013-1655)

已发现 Puppet 未正确处理提交的报告。
经过认证的节点中的攻击者可能利用此问题提交其他任何节点的报告。(CVE-2013-2275)。

Moses Mendoza 报告：

在 Puppet 中发现的漏洞可允许经认证的客户端在对目录请求作出响应时，使主机执行任意代码。具体而言，Puppet 主控端必须在编译目录时调用“template”或“inline_template”函数才能利用该漏洞。

在 Puppet 中发现的漏洞可允许经认证的客户端连接至 Puppet 主控端，并执行未授权的操作。
具体而言，在给定有效证书和私钥的情况下，代理可从其不具备访问权限的主控端检索目录，或者对于支持缓存的任何由 Puppet 生成的数据，可使 Puppet 主控端的缓存中毒（例如目录、节点、事实和资源）。此漏洞的范围和严重性根据主控端的特定配置而各异：例如，是否使用 storeconfigs，版本号是多少，是否可访问缓存等等。

在 Puppet 中发现一个漏洞，可允许向主控端协商连接的客户端将主控端的 SSL 协议降级为 SSLv2。已发现该协议有设计缺点。该问题仅影响运行 openSSL 较早版本（低于 1.0.0）的系统。更新的版本明确禁用了 SSLv2。

在 Puppet 中发现的漏洞可允许经过认证的客户端在以默认配置运行的 Puppet 主控端或启用“puppet kick”的 Puppet 受控端上执行任意代码。
具体而言，正确认证和已连接的 Puppet 受控端可用于构造授权报告的 HTTP PUT 请求，实际上可在主控端上造成任意代码执行。

该漏洞对 Puppet 主控端 0.25.0 及更高版本存在影响。在默认情况下，auth.conf 允许任何经认证的节点提交有关任何其他节点的报告。这可导致合规性问题。已更改 auth.conf 的默认值。

在集中化配置管理系统 Puppet 中发现多种漏洞。

- CVE-2013-1640 经过认证的恶意客户端可从 Puppet 主控端请求其目录，并造成 Puppet 主控端执行任意代码。Puppet 主控端必须在编译目录时调用“template”或“inline_template”函数。

- CVE-2013-1652 经过认证的恶意客户端可能从未经授权访问的 Puppet 主控端中检索目录。如果提供有效证书和私钥，可构造为任意客户端返回目录的 HTTP GET 请求。

- CVE-2013-1653 经过认证的恶意客户端可在接受踢出连接的 Puppet 受控端上执行任意代码。
 Puppet 受控端在其默认配置下不易受到影响。但是，如果 Puppet 受控端配置为监听传入的连接，如 listen = true，且受控端的 auth.conf 允许访问“run” REST 端点，则经过认证的客户端可构造 HTTP PUT 请求以在受控端上执行任意代码。由于 Puppet 受控端通常以根用户身份运行，因而使此问题更为糟糕。

- CVE-2013-1654 Puppet 中的一个缺陷允许将 SSL 连接降级为 SSLv2，已知这包含设计缺陷漏洞。这会影响 Puppet 受控端和主控端之间的 SSL 连接，以及 Puppet 受控端与接受 SSLv2 连接的第三方服务器之间的连接。请注意，自 OpenSSL 1.0 开始禁用 SSLv2。

- CVE-2013-1655 未经认证的恶意客户端可向 Puppet 主控端发送请求，并以不安全的方式拥有主控端加载代码。它仅影响运行 ruby 1.9.3 及更高版本的 Puppet 主控端的用户。

- CVE-2013-2274 经过认证的恶意客户端可在默认配置中的 Puppet 主控端上执行任意代码。
 如果提供有效的证书和私钥，客户端可构造授权保存客户端自己的报告的 HTTP PUT 请求，但请求实际上将造成 Puppet 主控端执行任意代码。

- CVE-2013-2275 默认 auth.conf 允许经过认证的节点为任何其他节点提交报告，这是一个合规性问题。默认已增加限制，仅允许节点保存自己的报告。

对 Puppet 实验室 2013 年 3 月 12 日安全公告的更新。

https://groups.google.com/group/puppet-announce/t/9200f268f8479e2c

此更新还提供了针对许多 ruby-1.9 问题的向后移植的补丁。

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

puppet 中修复了各种安全问题。

CVE-2013-1655 CVE-2013-2275 CVE-2013-1640 CVE-2013-1652 CVE-2013-1653 CVE-2013-1654 CVE-2013-1655 CVE-2013-2274 CVE-2013-2275

远程主机受到 GLSA-201308-04 中所述漏洞的影响（Puppet：多种漏洞）

在 Puppet 中发现多种漏洞。请检查下面引用的 CVE 标识符以了解详细信息。
 影响：

远程攻击者可能以进程的权限执行任意代码，造成拒绝服务的情况，获得敏感信息或者绕过安全限制。
 变通方案：

目前无任何已知的变通方案。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
69189	Fedora 18：puppet-3.1.1-1.fc18 (2013-3935)	Nessus	Fedora Local Security Checks	2013/8/2	2021/1/11	high
65796	SuSE 11.2 安全更新：puppet（SAT 修补程序编号 7526）	Nessus	SuSE Local Security Checks	2013/4/4	2021/1/19	high
65542	FreeBSD：puppet27 和 puppet -- 多种漏洞 (cda566a0-2df0-4eb0-b70e-ed7a6fb0ab3c)	Nessus	FreeBSD Local Security Checks	2013/3/14	2021/1/6	high
66237	Puppet 多种漏洞 (2013/03/12)	Nessus	CGI abuses	2013/4/26	2021/1/19	high
65251	Ubuntu 11.10 / 12.04 LTS / 12.10：puppet 漏洞 (USN-1759-1)	Nessus	Ubuntu Local Security Checks	2013/3/13	2019/9/19	high
65540	FreeBSD：puppet26 -- 多种漏洞 (04042f95-14b8-4382-a8b9-b30e365776cf)	Nessus	FreeBSD Local Security Checks	2013/3/14	2021/1/6	high
65228	Debian DSA-2643-1：puppet - 多个漏洞	Nessus	Debian Local Security Checks	2013/3/13	2021/1/11	high
65749	Fedora 17：puppet-2.7.21-2.fc17 (2013-4187)	Nessus	Fedora Local Security Checks	2013/4/1	2021/1/11	high
74952	openSUSE 安全更新：puppet (openSUSE-2013-295)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	high
69464	GLSA-201308-04：Puppet：多种漏洞	Nessus	Gentoo Local Security Checks	2013/8/25	2021/1/6	high

检测

插件搜索

high

high

high

high

high

high

high

high

high

high