SUSE SLED12セキュリティ更新プログラム：puppet（SUSE-SU-2017:2113-1）

high Nessus プラグイン ID 102352

Language:

概要

リモートのSUSEホストに1つ以上のセキュリティ更新がありません。

説明

このpuppet の更新では、次の問題が修正されます：修正されたセキュリティ問題：

- CVE-2017-2295: 攻撃者が安全でない方法でYAML逆シリアル化を強制できる可能性があるコード実行の脆弱性。デフォルトでは、この更新によって3.2.2より古いPuppetエージェントとの後方互換性がなくなります。これは、SLE12マスターがデフォルトでpson以外のファクト形式をサポートしないためです。ユーザーが各自のSLE12マスター/SLE11エージェントのセットアップを引き続き使用できるようにし、他についてCVE-2017-2295を修正するため、新しいpuppetマスターのブール値オプション「dangerous_fact_formats」が追加されました。trueに設定されると、危険なファクト形式（例：YAML）が使用可能になります。falseに設定されると、PSONファクトフォーマットのみが受け入れられます。（bsc#1040151）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ソリューション

このSUSEセキュリティ更新をインストールするには、YaST online_updateを使用してください。
別の方法として、製品にリストされているコマンドを実行することができます：

SUSE Linux Enterprise Module for Advanced Systems Management 12：zypper in -t patch SUSE-SLE-Module-Adv-Systems-Management-12-2017-1310=1

SUSE Linux Enterprise Desktop 12-SP3：zypper in -t patch SUSE-SLE-DESKTOP-12-SP3-2017-1310=1

SUSE Linux Enterprise Desktop 12-SP2：zypper in -t patch SUSE-SLE-DESKTOP-12-SP2-2017-1310=1

お使いのシステムを最新の状態にするには、「zypperパッチ」を使用してください。

参考資料

https://bugzilla.suse.com/show_bug.cgi?id=1040151

https://www.suse.com/security/cve/CVE-2017-2295/

http://www.nessus.org/u?29e59b1e

プラグインの詳細

深刻度: High

ID: 102352

ファイル名: suse_SU-2017-2113-1.nasl

バージョン: 3.9

タイプ: local

エージェント: unix

ファミリー: SuSE Local Security Checks

公開日: 2017/8/10

更新日: 2021/1/6

サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus