Puppet Enterprise默认密码缝隙安全公告

颁布功夫 2019-08-05

? 缝隙编号和级别


CVE编号：：：CVE-2019-10694，，危险级别：：：严重，，CVSS分值：：：厂商自评：：：9.4，，官方未评定


? 影响版本


受影响的版本


合用于Puppet Enterprise 2019.0.3之前版本。。


? 缝隙概述


Puppet是开源的基于Ruby的系统配置治理工具，，基于C/S的部署架构。。是一个为实现数据中心自动化治理而设计的配置治理软件，，它使用跨平台说话规范，，治理配置文件、、用户、、软件包、、系统服务等。�？突Ф四厦扛舭胄∈被岷头衿魍ㄑ兑淮�，，确认是否有更新。。当然也能够配置自动触发来强制客户端更新。。这样就把日常的系统治理工作代码化了，，代码化的益处是能够分享，，保留，，预防反复劳动，，也能够急剧复原以及急剧的大规模部署服务器。。Puppet Enterprise是Puppet的企业版。。


Puppet Enterprise 2019.0.3之前版本中存在默认密码缝隙，，攻击者可利用该缝隙绕过限度，，提升权限。。


据统计，，中国露出在公网上的Puppet达3000多个，，具体散布情况如下：：：

 

OG东方厅·(中国大陆)


OG东方厅·(中国大陆)


? 缝隙验证


暂无POC/EXP。。


? 修复建议


目前厂商已颁布升级补丁以修复缝隙，，补丁获取链接：：：https://puppet.com/security/cve/CVE-2019-10694


? 参考链接


https://puppet.com/security/cve/CVE-2019-10694