Puppetlabs レポート：

Puppet ServerおよびPuppetDBは、メトリクスAPIエンドポイントを通じて、有用なパフォーマンスおよびデバッグ情報を提供します。PuppetDBの場合、これにはホスト名などが含まれることがあります。Puppet Serverは、定義されたタイプのリソース名とタイトル（機密情報を含む可能性がある）、ならびに関数名とクラス名を報告します。以前は、これらのエンドポイントはローカルネットワークに対して開かれていました。

PE 2018.1.13 ＆ 2019.4.0、Puppet Server 6.9.1 ＆ 5.3.12、およびPuppetDB 6.9.1 ＆ 5.2.13は、 trapperkeeper-metrics /v1メトリクスAPIを無効にし、デフォルトでlocalhostの/v2アクセスのみを許可します。

リモートの Redhat Enterprise Linux 7 ホストにインストールされているパッケージは、RHSA-2020: 4366アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - rack-protection: authenticity_token.rbでのタイミング攻撃（CVE-2018-1000119）

  - puppet-agent: Puppet Agentは、CRLのダウンロード時にSSL接続を適切に検証しません（CVE-2018-11751）

  - mysql-connector-java: Connector/Jの詳細不明な脆弱性（CPU 2018年10月）（CVE-2018-3258）

  - hibernate-validator: safeHTMLバリデーターはXSSを阻止しない（CVE-2019-10219）

  - Django: HTTPS経由のリバースプロキシ接続での不適切なHTTP検出（CVE-2019-12781）

  - rubygem-rack: セッションIDを標的とするタイミング攻撃を使用してセッションをハイジャック（CVE-2019-16782）

  - hibernate-validator: 制約エラーメッセージの補間における不適切な入力検証（CVE-2020-10693）

  - jackson-databind: org.aoju.bus.proxy.provider.*.RmiProviderでのシリアル化ガジェット（CVE-2020-10968）

  - jackson-databind: javax.swing.JEditorPaneでのシリアル化ガジェット（CVE-2020-10969）

  - jackson-databind: org.springframeworkでのシリアル化ガジェット: spring-aop（CVE-2020-11619）

  - jackson-databind: weblogic/oracle-aqjmsでのシリアル化（CVE-2020-14061）

  - jackson-databind: com.sun.org.apache.xalan.internal.lib.sql.JNDIConnectionPoolでのシリアル化（CVE-2020-14062）

  - jackson-databind: org.jsecurity.realm.jndi.JndiRealmFactoryでのシリアル化（CVE-2020-14195）

  - foreman: ローカルユーザーによるRPMベースのインストールにおける不正なキャッシュ読み取り（CVE-2020-14334）

  - Satellite: シングルサインオン（SSO）ユーザーによるローカルのユーザーなりすましがアカウントの乗っ取りを引き起こします（CVE-2020-14380）

  - rubygem-secure_headers：ユーザー入力で動的オーバーライドを使用する際の限定されたヘッダーインジェクション（CVE-2020-5216）

  - rubygem-secure_headers：ユーザー入力で動的オーバーライドを使用する際のディレクティブインジェクション（CVE-2020-5217）

  - rubygem-actionview: 「j」または「escape_javascript」方法を使用するビューはXSS攻撃を受けやすくなります（CVE-2020-5267）

  -netty: 転送エンコード空白の不適切な処理によるHTTPリクエストのスマグリング（CVE-2020-7238）

  - rubygem-websocket-extensions: Sec-WebSocket-ExtensionsパーサーのReDoS脆弱性（CVE-2020-7663）

  - puppet：任意のカタログ取得（CVE-2020-7942）

  - puppet：puppetサーバーとpuppetDBは、メトリクスAPIを介して機密情報を漏洩する可能性があります（CVE-2020-7943）

  - rubygem-rack: Rackにおけるディレクトリトラバーサル: : ディレクトリ（CVE-2020-8161）

  - rubygem-rack: パーセントエンコードされたクッキーは、既存のプレフィックス付きクッキー名の上書きに使用される可能性があります（CVE-2020-8184）

  - jackson-databind: 特定のxbean-reflect/JNDIブロックがありません（CVE-2020-8840）

  - jackson-databind: shaded-hikari-configでのシリアル化ガジェット（CVE-2020-9546）

  - jackson-databind: ibatis-sqlmapでのシリアル化ガジェット（CVE-2020-9547）

  - jackson-databind: anteros-coreでのシリアル化ガジェット（CVE-2020-9548）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
134843	FreeBSD：puppetserverおよびpuppetdb -- Puppet ServerとPuppetDBは、メトリクスAPIを介して機密情報を漏洩する可能性があります（36def7ba-6d2b-11ea-b115-643150d3111d）	Nessus	FreeBSD Local Security Checks	2020/3/24	2024/3/21	high
142452	RHEL 7：Satellite 6.8リリース（重要度高）（RHSA-2020: 4366)	Nessus	Red Hat Local Security Checks	2020/11/4	2024/6/3	critical

検出

プラグインの検索

high

critical