以下のセキュリティ問題が修正されました：

- Puppet の認証局が、Puppet マスターになりすますことができる Puppet エージェント証明書を発行しました。
 このため、セキュリティ上危険にさらされる、または不正な Puppet エージェントが、自身の証明書を MITM 攻撃に使用する可能性があります。(CVE-2011-3872)

注：「certdnsnames」オプションをマスターの puppet.conf ファイルに設定した場合、単に更新したパッケージをインストールするだけではこの問題を修正できません。マスターのために新し DNS 名をピックし、これを使用するエージェントすべてを再構成するか、すべてのエージェントの証明書を更新する必要があります。

詳細な命令とスクリプトについては、/usr/share/doc/packages/puppet/puppetlabs-cve20113872-0
 0.5 にあるドキュメントを参照してください。

Puppetlabs のサイトに追加の情報が提供されます：
 http://puppetlabs.com/security/cve/cve-2011-3872/faq/ http://puppetlabs.com/blog/important-security-announceme nt-altnames-vulnerability/

- puppet でのディレクトリトラバーサル脆弱性により、認証されていないリモートの攻撃者が、x.509 証明書署名リクエストを任意の場所にアップロードすることが可能でした。
 (CVE-2011-3848)

- Puppet は、いくつかのシンボリックリンク攻撃に対して脆弱でした（CVE-2011-3870 / CVE-2011-3869 / CVE-2011-3871）

検出

SuSE 11.1 セキュリティ更新：puppet（SAT パッチ番号 5421）

medium Nessus プラグイン ID 57129

変更ログが見つかりません