Puppet Console 身份验证绕过漏洞

发布日期：2013-04-11
更新日期：2013-04-12受影响系统：
Puppet Labs Puppet Enterprise 2.x
描述：
--------------------------------------------------------------------------------
Puppet Enterprise是IT自动化软件。

Puppet Enterprise 2.x内存在安全漏洞，恶意用户可利用此漏洞绕过某些安全限制。CAS客户端配置文件在升级应用时，配置文件`/etc/puppetlabs/console-auth/cas_client_config.yml`安装无需随机化密码，攻击者通过特制的cookie，利用此漏洞可绕过控制台身份验证。

<*来源：vendor

链接：http://secunia.com/advisories/52862
https://puppetlabs.com/security/cve/cve-2013-2716/
*>建议：
--------------------------------------------------------------------------------
厂商补丁：

Puppet Labs
-----------
PE 2.8.0已修补该漏洞。安装了旧版本的用户可通过如下命令修复

/opt/puppet/bin/rake -f /opt/puppet/share/console-auth/Rakefile console:auth:generate_secret

厂商见
http://puppetlabs.com/puppet/what-is-puppet/OpenStack PackStack 不安全文件创建漏洞（CVE-2013-1815）Splunk Web 跨站脚本漏洞相关资讯 Puppet Enterprise 本文评论查看全部评论（0）

评论声明

尊重网上道德，遵守中华人民共和国的各项有关法律法规
承担一切因您的行为而直接或间接导致的民事或刑事法律责任
本站管理人员有权保留或删除其管辖留言中的任意内容
本站有权在网站内转载或引用您的评论
参与本评论即表明您已经阅读并接受上述条款