Podatności Puppet Enterprise

Wersje Puppet Enterprise przed 2016.4.5 i 2017.2.1 nie oznaczały prywatnych kluczy serwera MCollective jako wrażliwych, co mogło prowadzić do ich logowania i przechowywania w PuppetDB.

Puppet Enterprise w wersji 2015.3 przed 2015.3.1 umożliwia zdalnym atakującym ominięcie mechanizmu ochrony białej listy hostów poprzez wykorzystanie protokołu komunikacyjnego Puppet.

Puppet Enterprise w wersjach 2023.8.0-2023.8.10 oraz 2025.0.0-2025.11.2 zawiera podatność na wstrzyknięcie poleceń. Uwierzytelniony użytkownik z uprawnieniami administracyjnymi Puppet może wykonać dowolne polecenia powłoki z uprawnieniami roota.

W Puppet Enterprise w wersjach 2025.4.0 i 2025.5 klucz szyfrujący używany do szyfrowania zawartości bazy danych Infra Assistant nie został wykluczony z plików zbieranych przez kopię zapasową Puppet. Klucz jest obecny w systemie tylko wtedy, gdy użytkownik posiada licencję Puppet Enterprise Advanced i włączył funkcję Infra Assistant. Klucz służy do szyfrowania klucza API konta dostawcy AI. Podatność naprawiono w wersji 2025.6, a notatki do wydania zawierają kroki zaradcze dla użytkowników starszych wersji.

Użytkownik z określonymi uprawnieniami do edycji grup węzłów oraz specjalnie spreparowanym parametrem klasy może wykonać polecenia jako root na głównym hoście. Podatność dotyczy Puppet Enterprise w wersjach od 2018.1.8 do 2023.8.3 oraz 2025.3, a została naprawiona w wersjach 2023.8.4 i 2025.4.0.