CVE-2020-7942
Açıklama
Daha önce Puppet, geçerli bir sertifikaya sahip olan bir düğümün sistemdeki tüm bilgilere yetkili olduğu ve ele geçirilmiş bir sertifikanın altyapıdaki her şeye erişim sağladığı bir modelle çalışıyordu. Bir düğümün kataloğu `default` düğüme geri döndüğünde, Puppet çalıştırılması için fact'ler değiştirilerek farklı bir düğüm için katalog alınabilir. Bu sorun, Puppet master üzerindeki `puppet.conf` dosyasında `strict_hostname_checking = true` ayarı yapılandırılarak hafifletilebilir. Puppet 6.13.0 ve 5.5.19, strict_hostname_checking için varsayılan davranışı false değerinden true değerine değiştirir. Yükseltme yapmayan Puppet Open Source ve Puppet Enterprise kullanıcılarının, güvenli davranışı sağlamak için strict_hostname_checking ayarını yine de true olarak ayarlamaları önerilir. Etkilenen yazılım sürümleri: 6.13.0 öncesi Puppet 6.x, 6.13.0 öncesi Puppet Agent 6.x, 5.5.19 öncesi Puppet 5.5.x, 5.5.19 öncesi Puppet Agent 5.5.x. Çözüldüğü sürümler: Puppet 6.13.0, Puppet Agent 6.13.0, Puppet 5.5.19, Puppet Agent 5.5.19
Nasıl düzeltilir
- puppet puppet5.5.19, 6.13.0 ya da sonraki bir sürüm
- puppet puppet_agent5.5.19, 6.13.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| puppet puppet | 5.5.0 ≤ v < 5.5.19, 6.0.0 ≤ v < 6.13.0 | 5.5.19, 6.13.0 |
| puppet puppet_agent | 5.5.0 ≤ v < 5.5.19, 6.0.0 ≤ v < 6.13.0 | 5.5.19, 6.13.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.