Puppet構成管理システムにおいて、エージェントからサーバーに送信されたデータの無制限なYAML逆シリアル化により、任意のコードの実行が引き起こされる可能性があることが判明しました。

この修正により、3.2.2より古いPuppetエージェントとの下位互換性が失われ、安全に復元する方法がなくなりますので、ご注意ください。これは、Debian wheezyで実行しているpuppetエージェントに影響を与えます。wheezy-backportsで出荷されたpuppetバージョンに更新することを推奨します。

安全ではないYAMLの逆シリアル化：

4.10.1より前のPuppetのバージョンでは、攻撃者が指定した形式でデータをワイヤから (この場合はエージェントからサーバーに) 逆シリアル化します。これは、安全ではない方法でYAMLの逆シリアル化を強制するために使用され、リモートでコードが実行される可能性があります。この変更により、ワイヤ上のデータ形式が PSON または安全にデコードされた YAML に制限されます。(CVE-2017-2295)

Puppetが正常に起動することができ、リモートコード実行のセキュリティ修正を[CVE-2017-2295]として追跡するための修正が含まれています（https://bugzilla.redhat.com/show_bug.cgi?id=1452654）。

  - 事実のアップロード中のPuppetマスターにおけるリモートコードの実行を修正します - Fedora#1452654

  - 起動時のSSLモンキーパッチのエラーを修正します - Fedora#1440710、Fedora#1443673

  - 起動時にxmlrpc/clientが必要とするエラーを修正します - Fedora#1443673

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

このrubygem-puppetの更新では、次の問題が修正されます：

  - CVE-2017-2295: リモート攻撃者が安全でないYAMLの逆シリアル化を強制的に実行でき、これによりコードの実行が引き起こされる可能性がありました（bsc#1040151）

自己報告されたバージョン番号によると、リモートホストにインストールされているPuppetは、複数の脆弱性の影響を受けます:

  - 安全でないYAMLの逆シリアル化により、MCollectiveプラグインにリモートコマンド実行の脆弱性が存在します。認証されていないリモートの攻撃者がこれを悪用して認証をバイパスし、任意のコマンドを実行する可能性があります。（CVE-2017-2292、CVE-2017-2295）

  - 安全でないデフォルト構成により、MCollectiveプラグインに任意のパッケージインストールの脆弱性が存在します。認証されていないリモートの攻撃者がこれを悪用して、すべての管理対象エージェントにパッケージをインストールまたは削除する可能性があります。
    （CVE-2017-2293）

  - サーバーの秘密鍵の安全でない保存により、MCollectiveプラグインに情報漏洩の脆弱性が存在します。認証されていないリモートの攻撃者がこれを悪用して、機密の秘密鍵を閲覧する可能性があります。
    （CVE-2017-2294）   
  - ラベル付きRBACアクセストークンに認証バイパスの脆弱性が存在します。認証されていない攻撃者がこれを悪用して、認証をバイパスし、ラベル付きRBACアクセストークンを使用するように構成されたユーザーの任意のアクションを実行する可能性があります。この問題はPuppet Enterprise 2016.4.5および2017.2.1で修正されました。これは、トークンのデフォルトではないラベル付きトークンを持つユーザーにのみ影響します。（CVE-2017-2297）

このpuppetの更新では、以下の問題を修正します：

  - CVE-2017-2295：攻撃者が安全でない方法でYAML逆シリアル化を強制して、リモートコード実行に至る可能性のあるセキュリティ脆弱性が修正されました。デフォルトでは、この更新により3.2.2以前のPuppetエージェントとの後方互換性が中断されます。これは、SLE11マスターが、pson以外のデフォルトのファクト形式をサポートしなくなるために発生します。ユーザーに引き続きSLE11エージェントの使用を許可するため、エージェントからPSONの送信を可能にするパッチが追加されました。3.2.2以前のSUSE以外のクライアントに対して、新しいPuppetマスターブールオプションである「dangerous_fact_formats」が追加されました。trueに設定されると、危険なファクト形式が使用可能になります（例：
    YAML）。falseに設定されると、PSONファクトフォーマットのみが受け入れられます。（bsc#1040151）、（bsc#1077767）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

4.10.1より前のPuppetのバージョンでは、攻撃者が指定した形式でデータをワイヤから（この場合はエージェントからサーバーに）逆シリアル化します。これは、安全でない方法でYAMLの逆シリアル化を強制するために使用され、リモートでコードが実行される可能性があります。

Debian 7「Wheezy」は、クライアントでPSONシリアル化を有効にし、サーバーで非PSONフォーマットを拒否することで、これらの問題はバージョン2.7.23-1~deb7u4で修正されています。

お使いのpuppetパッケージをアップグレードすることを推奨します。サーバーを更新する前に、必ずすべてのクライアントを更新してください。更新しないと、古いクライアントはサーバーに接続できません。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Red Hat Satelliteの更新プログラムが利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat Satelliteは、Linuxベースのインフラストラクチャ用のシステム管理ツールです。単一の集中型ツールで、多数のLinuxデプロイメントのプロビジョニング、リモート管理および監視を行うことができます。この更新プログラムでは、Red Hat Enterprise Linux 7 Satelliteサーバー用のSatellite 6.3パッケージを提供します。Satellite 6.3が提供する新機能の完全なリストについては、「参照」セクションでリンクされているリリースノートを参照してください。新しいSatellite 6.3環境のインストール方法の詳細については、「Satellite 6インストールガイド」を参照してください。以前のバージョンのSatellite 6からアップグレードする方法の詳細については、「Satellite 6アップグレードおよびアップデートガイド」を参照してください。Satelliteバージョン6.3が必要なすべてのユーザーは、これらの新しいパッケージをインストールすることが推奨されます。セキュリティ修正プログラム：* V8：Zone::New関数のバッファオーバーフローにつながる整数オーバーフロー（CVE-2016-1669）* ruby​​gem-will_paginate：XSS脆弱性（CVE-2013-6459）* foreman： 組織への「belongs_to」のアソシエーションを持つモデルがその組織に属するアソシエーションを検証しない（CVE-2014-8183）* foreman：プロビジョニングテンプレートのinspectメソッドを介したコントローラーの秘密情報の漏えい（CVE-2016-3693）* pulp：NSS DBのパスワードとシードにおけるbash $ RANDOMの安全でない使用（CVE-2016-3704）* foreman：組織およびロケーションAPIを介した権限昇格（CVE-2016-4451）* foreman：discovery-debug内におけるルートパスワードのプレーンテキスト表示（CVE-2016-4996）* foreman：Foremanのリモート実行プラグインにおける継続的なXSS（CVE-2016-6319）* foreman：名前にHTMLを使用して組織/ロケーションを経由するStored型XSS（CVE-2016-8639） * katello-debug：予測可能なファイル名の使用によるシンボリックリンク攻撃の可能性（CVE-2016-9595）* ruby​​gem-hammer_cli：APIサーバーのSSL証明書の検証なし（CVE-2017-2667）* foreman：画像パスワードの漏えい（CVE-2017-2672）* pulp：pulp-qpid-ssl-cfgにおけるCAキーの漏えい（CVE-2016-3696）* foreman：プロビジョニングテンプレートプレビューでの情報漏えい（CVE-2016-4995）* foreman-debug：秘密情報の難読化非対応（CVE-2016-9593）影響、CVSSスコア、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEページを参照してください。Red Hatは、CVE-2016-3704を報告してくれたRandy Barlow氏（RedHat）とCVE-2016-3696を報告してくれたSander Bos氏に感謝の意を表します。CVE-2014-8183の問題は、Eric Helms氏（Red Hat）によって発見されました。CVE-2016-3693およびCVE-2016-4995の問題はDominic Cleal氏（Red Hat）によって発見されました。CVE-2016-4451およびCVE-2016-6319の問題はMarek Hulan氏（Red Hat）によって発見されました。CVE-2016-4996の問題はThom Carlin氏（Red Hat）によって発見されました。CVE-2016-8639の問題はSanket Jagtap氏（Red Hat）によって発見されました。CVE-2016-9595の問題はEvgeni Golov氏（Red Hat）によって発見されました。CVE-2017-2667の問題はTomas Strachota氏（Red Hat）によって発見されました。CVE-2016-9593の問題はPavel Moravec氏（Red Hat）によって発見されました。

リモートの Ubuntu 16.04 ESM ホストには、USN-4804-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Puppet Agent の以前のバージョンでは、誰でも書き込める権限でモジュールをインストールすることが可能でした。
    Puppet Agent 5.3.4 および 1.10.10 には、この脆弱性に対する修正が含まれています。(CVE-2017-10689)

  - 4.10.1より前の Puppet のバージョンでは、攻撃者が指定した形式でデータをワイヤから (この場合はエージェントからサーバーに) 逆シリアル化します。これは、安全ではない方法でYAMLの逆シリアル化を強制するために使用され、リモートでコードが実行される可能性があります。この変更により、ワイヤ上のデータ形式が PSON または安全にデコードされた YAML に制限されます。(CVE-2017-2295)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

このpuppet の更新では、次の問題が修正されます：修正されたセキュリティ問題：

  - CVE-2017-2295: 攻撃者が安全でない方法でYAML逆シリアル化を強制できる可能性があるコード実行の脆弱性。デフォルトでは、この更新によって3.2.2より古いPuppetエージェントとの後方互換性がなくなります。これは、SLE12マスターがデフォルトでpson以外のファクト形式をサポートしないためです。ユーザーが各自のSLE12マスター/SLE11エージェントのセットアップを引き続き使用できるようにし、他についてCVE-2017-2295を修正するため、新しいpuppetマスターのブール値オプション「dangerous_fact_formats」が追加されました。trueに設定されると、危険なファクト形式（例：YAML）が使用可能になります。falseに設定されると、PSONファクトフォーマットのみが受け入れられます。（bsc#1040151）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

CVE-2017-2295のセキュリティ修正とchrootでsystemdサービスプロバイダーを使用するための修正。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Dennis Rowe氏は、puppetが検索パスを不適切に処理することを発見しました。ローカルの攻撃者がこの問題を悪用して、任意のコードを実行する可能性があります。(CVE-2014-3248)

PuppetがYAMLの逆シリアル化を不適切に処理することがわかりました。リモートの攻撃者がこの問題を悪用して、マスター上で任意のコードを実行する可能性があります。この更新プログラムは3.2.2より前のエージェントと互換性がありません。（CVE-2017-2295）

注意: Tenable Network Security は、前述の説明ブロックをUbuntuセキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
100432	Debian DSA-3862-1: puppet - セキュリティ更新	Nessus	Debian Local Security Checks	2017/5/26	2021/1/11	high
101002	Amazon Linux AMI：puppet3 (ALAS-2017-849)	Nessus	Amazon Linux Local Security Checks	2017/6/23	2018/4/18	high
101710	Fedora 26：Puppet（2017-b9b66117bb）	Nessus	Fedora Local Security Checks	2017/7/17	2021/1/6	high
101969	openSUSEセキュリティ更新プログラム：rubygem-puppet（openSUSE-2017-835）	Nessus	SuSE Local Security Checks	2017/7/26	2021/1/19	high
129755	Puppet Enterprise 2016.4.5/2016.5.x/2017.1.xより前の複数の脆弱性	Nessus	CGI abuses	2019/10/9	2019/10/17	critical
107139	SUSE SLES11セキュリティ更新プログラム：puppet（SUSE-SU-2018:0600-1）	Nessus	SuSE Local Security Checks	2018/3/6	2021/1/19	high
101211	Debian DLA-1012-1: puppet セキュリティ更新	Nessus	Debian Local Security Checks	2017/7/5	2021/1/11	high
107053	RHEL 7：Satelliteサーバー（RHSA-2018:0336）	Nessus	Red Hat Local Security Checks	2018/2/28	2024/6/3	high
183709	Ubuntu 16.04 ESM: Puppet の脆弱性 (USN-4804-1)	Nessus	Ubuntu Local Security Checks	2023/10/23	2023/10/23	high
102352	SUSE SLED12セキュリティ更新プログラム：puppet（SUSE-SU-2017:2113-1）	Nessus	SuSE Local Security Checks	2017/8/10	2021/1/6	high
100564	Fedora 25：puppet（2017-8ad8d1bd86）	Nessus	Fedora Local Security Checks	2017/6/1	2021/1/6	high
100632	Ubuntu 14.04 LTS: Puppet の脆弱性 (USN-3308-1)	Nessus	Ubuntu Local Security Checks	2017/6/6	2023/10/23	high

検出

プラグインの検索

high

high

high

high

critical

high

high

high

high

high

high

high