openSUSE セキュリティ更新：puppet （openSUSE-SU-2011:1288-1）

medium Nessus プラグイン ID 75715

Language:

概要

リモート openSUSE ホストに、セキュリティ更新がありません。

説明

Puppet の認証局が、Puppet マスターになりすますことができる Puppet エージェント証明書を発行しました。このため、セキュリティを破る、または不正な Puppet エージェントが、自身の証明書を MITM 攻撃に使用することがあります（CVE-2011-3872）。

注：「certdnsnames」オプションをマスターの puppet.conf ファイルに設定した場合、単に更新したパッケージをインストールするだけではこの問題を修正できません。マスターのために新し DNS 名をピックし、これを使用するエージェントすべてを再構成するか、すべてのエージェントの証明書を更新する必要があります。

指示およびスクリプトの詳細については、 /usr/share/doc/packages/puppet/puppetlabs-cve20113872-0.0.5 にあるドキュメントを参照してください。

詳細については、次の Puppetlabs のサイトでもご覧いただけます：
http://puppetlabs.com/security/cve/cve-2011-3872/faq/ http://puppetlabs.com/blog/important-security-announcement-altnames-vulnerability/

--

puppet でのディレクトリトラバーサル脆弱性により、認証されていないリモートの攻撃者が、x.509 証明書署名リクエストを任意の場所にアップロードできました（CVE-2011-3848）

Puppet は、いくつかのシンボリックリンク攻撃に対して脆弱でした（CVE-2011-3870、CVE-2011-3869、CVE-2011-3871）