puppet の SSL 証明書処理にあるバグにより、有効な証明書のあるノードが puppet マスターを偽装できるおそれがあります。脆弱になるためには、ユーザーは certdnsnames 変数の設定と証明書の作成が必要でした。デフォルトではこの設定は Fedora/EPEL パッケージでは設定されていません。

この更新により、新規に生成された証明書の脆弱性は終了されますが、既存の証明書が使用されてこの脆弱性を悪用することは防ぐことはできません。次の問題に脆弱な証明書を生成している場合、この問題の緩和と修復の詳細については、 Upstream のドキュメントを参照してください：

http://puppetlabs.com/security/cve/CVE-2011-3872/

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

検出

Fedora 14：puppet-2.6.12-1.fc14（2011-15000）

high Nessus プラグイン ID 56890

変更ログが見つかりません