Puppetlabs レポート：

Puppet ServerおよびPuppetDBは、メトリクスAPIエンドポイントを通じて、有用なパフォーマンスおよびデバッグ情報を提供します。PuppetDBの場合、これにはホスト名などが含まれることがあります。Puppet Serverは、定義されたタイプのリソース名とタイトル（機密情報を含む可能性がある）、ならびに関数名とクラス名を報告します。以前は、これらのエンドポイントはローカルネットワークに対して開かれていました。

PE 2018.1.13 ＆ 2019.4.0、Puppet Server 6.9.1 ＆ 5.3.12、およびPuppetDB 6.9.1 ＆ 5.2.13は、 trapperkeeper-metrics /v1メトリクスAPIを無効にし、デフォルトでlocalhostの/v2アクセスのみを許可します。

リモートの Redhat Enterprise Linux 7 ホストにインストールされているパッケージは、RHSA-2020: 4366アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - rack-protection: authenticity_token.rbでのタイミング攻撃（CVE-2018-1000119）

  - puppet-agent: Puppet Agentは、CRLのダウンロード時にSSL接続を適切に検証しません（CVE-2018-11751）

  - mysql-connector-java: Connector/Jの詳細不明な脆弱性（CPU 2018年10月）（CVE-2018-3258）

  - hibernate-validator: safeHTMLバリデーターはXSSを阻止しない（CVE-2019-10219）

  - Django: HTTPS経由のリバースプロキシ接続での不適切なHTTP検出（CVE-2019-12781）

  - rubygem-rack: セッションIDを標的とするタイミング攻撃を使用してセッションをハイジャック（CVE-2019-16782）

  - hibernate-validator: 制約エラーメッセージの補間における不適切な入力検証（CVE-2020-10693）

  - jackson-databind: org.aoju.bus.proxy.provider.*.RmiProviderでのシリアル化ガジェット（CVE-2020-10968）

  - jackson-databind: javax.swing.JEditorPaneでのシリアル化ガジェット（CVE-2020-10969）

  - jackson-databind: org.springframeworkでのシリアル化ガジェット: spring-aop（CVE-2020-11619）

  - jackson-databind: weblogic/oracle-aqjmsでのシリアル化（CVE-2020-14061）

  - jackson-databind: com.sun.org.apache.xalan.internal.lib.sql.JNDIConnectionPoolでのシリアル化（CVE-2020-14062）

  - jackson-databind: org.jsecurity.realm.jndi.JndiRealmFactoryでのシリアル化（CVE-2020-14195）

  - foreman: ローカルユーザーによるRPMベースのインストールにおける不正なキャッシュ読み取り（CVE-2020-14334）

  - Satellite: シングルサインオン（SSO）ユーザーによるローカルのユーザーなりすましがアカウントの乗っ取りを引き起こします（CVE-2020-14380）

  - rubygem-secure_headers：ユーザー入力で動的オーバーライドを使用する際の限定されたヘッダーインジェクション（CVE-2020-5216）

  - rubygem-secure_headers：ユーザー入力で動的オーバーライドを使用する際のディレクティブインジェクション（CVE-2020-5217）

  - rubygem-actionview: 「j」または「escape_javascript」方法を使用するビューはXSS攻撃を受けやすくなります（CVE-2020-5267）

  -netty: 転送エンコード空白の不適切な処理によるHTTPリクエストのスマグリング（CVE-2020-7238）

  - rubygem-websocket-extensions: Sec-WebSocket-ExtensionsパーサーのReDoS脆弱性（CVE-2020-7663）

  - puppet：任意のカタログ取得（CVE-2020-7942）

  - puppet：puppetサーバーとpuppetDBは、メトリクスAPIを介して機密情報を漏洩する可能性があります（CVE-2020-7943）

  - rubygem-rack: Rackにおけるディレクトリトラバーサル: : ディレクトリ（CVE-2020-8161）

  - rubygem-rack: パーセントエンコードされたクッキーは、既存のプレフィックス付きクッキー名の上書きに使用される可能性があります（CVE-2020-8184）

  - jackson-databind: 特定のxbean-reflect/JNDIブロックがありません（CVE-2020-8840）

  - jackson-databind: shaded-hikari-configでのシリアル化ガジェット（CVE-2020-9546）

  - jackson-databind: ibatis-sqlmapでのシリアル化ガジェット（CVE-2020-9547）

  - jackson-databind: anteros-coreでのシリアル化ガジェット（CVE-2020-9548）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Puppet Server と PuppetDB は、メトリクス API エンドポイントを通じて、パフォーマンスとデバッグに役立つ情報を提供します。PuppetDBの場合、これにはホスト名などが含まれることがあります。Puppet Serverは、定義されたタイプのリソース名とタイトル（機密情報を含む可能性がある）、ならびに関数名とクラス名を報告します。以前は、これらのエンドポイントはローカルネットワークに対して開かれていました。PE 2018.1.13 ＆ 2019.5.0、Puppet Server 6.9.2 ＆ 5.3.12、およびPuppetDB 6.9.1 ＆ 5.2.13は、 trapperkeeper-metrics /v1メトリクスAPIを無効にし、デフォルトでlocalhostの/v2アクセスのみを許可します。これはソフトウェアバージョンに影響しますPuppet Enterprise 2018.1.x より前のストリーム 2019.5.02018.1.13 より前の Puppet Enterprise 6.9.2 より前の Puppet Server [] より前の Puppet Server 5.3.126.9.1 より前の PuppetDB  ] より前の PuppetDB 5.2.13 解決済み Puppet Enterprise 2018.1.13 Puppetエンタープライズ 2019.5.0 Puppet Server 6.9.2 Puppet Server 5.3.12 PuppetDB 6.9.1 PuppetDB []PuppetDB 5.2.13 Puppet DBCVE-2020-7943]

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
134843	FreeBSD：puppetserverおよびpuppetdb -- Puppet ServerとPuppetDBは、メトリクスAPIを介して機密情報を漏洩する可能性があります（36def7ba-6d2b-11ea-b115-643150d3111d）	Nessus	FreeBSD Local Security Checks	2020/3/24	2024/3/21	high
142452	RHEL 7：Satellite 6.8リリース（重要度高）（RHSA-2020: 4366)	Nessus	Red Hat Local Security Checks	2020/11/4	2024/11/7	critical
256600	Linux Distros のパッチ未適用の脆弱性: CVE-2020-7943	Nessus	Misc.	2025/8/27	2025/8/27	high

検出

プラグインの検索

high

critical

high