阿里云漏洞库

中危 Puppet Enterprise Puppet Server信息泄露漏洞

CVE编号

CVE-2015-7328

利用情况

暂无

补丁情况

官方补丁

披露时间

2016-01-09

漏洞描述

Puppet Server是美国Puppet实验室的一套基于客户端/服务器（C/S）架构的配置管理工具。该工具可用于管理配置文件、用户、cron任务、软件包、系统服务等。

Puppet Enterprise 3.8.3之前3.8.x版本和2015.2.3之前2015.2.x版本的Puppet Server中存在安全漏洞，该漏洞源于在初始安装和配置期间，程序为Certification Authority(CA)证书的私钥分配全局可读权限。本地攻击者可利用该漏洞获取敏感信息。

解决建议

目前厂商已经发布了升级补丁以修复此安全问题，补丁获取链接：
https://puppetlabs.com/security/cve/cve-2015-7328

参考链接
https://puppetlabs.com/security/cve/cve-2015-7328

受影响软件情况

1
#	类型	厂商	产品	版本	影响面
	运行在以下环境
	应用	puppet	puppet_enterprise	2015.2.0	-
	运行在以下环境
	应用	puppet	puppet_enterprise	2015.2.1	-
	运行在以下环境
	应用	puppet	puppet_enterprise	2015.2.2	-
	运行在以下环境
	应用	puppet	puppet_enterprise	3.8.0	-
	运行在以下环境
	应用	puppet	puppet_enterprise	3.8.1	-
	运行在以下环境
	应用	puppet	puppet_enterprise	3.8.2	-
	运行在以下环境
	系统	debian	DPKG	*		Up to (excluding) 0
	运行在以下环境
	系统	debian_10	puppet	*		Up to (excluding) 5.5.10-4
	运行在以下环境
	系统	debian_11	puppet	*		Up to (excluding) 5.5.22-2

攻击路径

本地
攻击复杂度

困难
权限要求

普通权限
影响范围

有限影响
EXP成熟度

未验证
补丁情况

官方补丁
数据保密性

无影响
数据完整性

N/A
服务器危害

无影响
全网数量

N/A

CWE-ID	漏洞类型
CWE-200	信息暴露

中危 Puppet Enterprise Puppet Server信息泄露漏洞

漏洞描述

解决建议

参考链接

受影响软件情况