CVE-2020-7943
Açıklama
Puppet Server ve PuppetDB, metrik API uç noktaları aracılığıyla yararlı performans ve hata ayıklama bilgileri sağlar. PuppetDB için bu bilgiler ana bilgisayar adları gibi öğeleri içerebilir. Puppet Server ise tanımlı türler için kaynak adlarını ve başlıklarını (hassas bilgiler içerebilir), ayrıca fonksiyon adlarını ve sınıf adlarını raporlar. Daha önce bu uç noktalar yerel ağa açıktı. PE 2018.1.13 & 2019.5.0, Puppet Server 6.9.2 & 5.3.12 ve PuppetDB 6.9.1 & 5.2.13 sürümleri, trapperkeeper-metrics /v1 metrik API'sini devre dışı bırakır ve varsayılan olarak yalnızca localhost üzerinden /v2 erişimine izin verir. Bu durum şu yazılım sürümlerini etkilemektedir: 2018.1.13 öncesindeki Puppet Enterprise 2018.1.x akışı, 2019.5.0 öncesindeki Puppet Enterprise, 6.9.2 öncesindeki Puppet Server, 5.3.12 öncesindeki Puppet Server, 6.9.1 öncesindeki PuppetDB, 5.2.13 öncesindeki PuppetDB. Çözüldüğü sürümler: Puppet Enterprise 2018.1.13, Puppet Enterprise 2019.5.0, Puppet Server 6.9.2, Puppet Server 5.3.12, PuppetDB 6.9.1, PuppetDB 5.2.13.
Nasıl düzeltilir
- puppet puppet_enterprise2018.1.15, 2019.7.0 ya da sonraki bir sürüm
- puppet puppet_server5.3.13, 6.11.1 ya da sonraki bir sürüm
- puppet puppetdb5.2.15, 6.10.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| puppet puppet_enterprise | 2018.1.0 ≤ v < 2018.1.15, 2019.0 ≤ v < 2019.7.0 | 2018.1.15, 2019.7.0 |
| puppet puppet_server | v < 5.3.13, 6.0.0 ≤ v < 6.11.1 | 5.3.13, 6.11.1 |
| puppet puppetdb | v < 5.2.15, 6.0.0 ≤ v < 6.10.1 | 5.2.15, 6.10.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.