The remote host is affected by the vulnerability described in GLSA-201308-04 (Puppet: Multiple vulnerabilities)

    Multiple vulnerabilities have been discovered in Puppet. Please review       the CVE identifiers referenced below for details.
  Impact :

    A remote attacker could possibly execute arbitrary code with the       privileges of the process, cause a Denial of Service condition, obtain       sensitive information, or bypass security restrictions.
  Workaround :

    There is no known workaround at this time.

It was discovered that the puppet package did not restrict the permissions and ownership of the /var/log/puppet directory, which may expose sensitive information.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

リモート Redhat Enterprise Linux 6 ホストに、RHSA-2013:0710 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Puppet を使用すると、クライアントのプロビジョニング、パッチ適用、構成を管理および自動化できます。

    Puppet が特定の HTTP PUT リクエストを処理する方法に欠陥が見つかりました。有効な認証情報を持ち、認証されたクライアント自身のレポートを保存する権限を与えられている攻撃者が、悪意のあるリクエストを作成し、Puppet マスターに任意のコードを実行させる可能性があります。
    (CVE-2013-2274)

    カタログのコンパイル中に Puppet が template および inline_template 関数を処理する方法に欠陥が見つかりました。認証された攻撃者が Puppet マスターからカタログをリクエストした場合、カタログのコンパイル時に任意のコードが実行される可能性があります。 （CVE-2013-1640）

    Puppet が特定の HTTP GET リクエストを処理する方法に、欠陥が見つかりました。有効な認証情報を持つ攻撃者がリクエストを作成し、アクセス権限のないカタログを Puppet マスターから取得する可能性があります。 （CVE-2013-1652）

    デフォルトの /etc/puppet/auth.conf 構成ファイルにより、認証されたノードが他のノードに対するレポートを送信する可能性があり、これによりコンプライアンス要件に違反する可能性があることが判明しました。 （CVE-2013-2275）

    /var/log/puppet ディレクトリが誰でも読み取れるように作成されていたことが判明しました。
    これにより、ローカルユーザーがPuppetログファイルから機密情報を取得する可能性があります。 （CVE-2012-6120）

    Puppet が SSLv2 プロトコルの使用を許可することが判明しました。Puppet エージェントはこれを利用して、Puppet マスターへの接続に脆弱な SSLv2 プロトコルの使用をネゴシエートする可能性があります。 （CVE-2013-1654）

    Red Hatは、 CVE-2013-1640、 CVE-2013-1652]、 CVE-2013-1654、 CVE-2013-2274、 CVE-2013-2275を報告してくれたPuppet Labsに感謝の意を表します。

    注意: ほとんどのデフォルト構成では、攻撃者が基盤となる OpenStack インフラへのアクセス権 (例: Nova 計算ノードへのシェルアクセス) を持たない限り、これらの問題を直接悪用することはできません。

    Red Hat OpenStack Folsom のユーザーは、Puppet をバージョン 2.6.18 にアップグレードするこれらの更新済みパッケージへアップグレードし、これらの問題を修正することが推奨されます。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote Redhat Enterprise Linux 6 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2013:0710 advisory.

    Puppet allows provisioning, patching, and configuration of clients to be     managed and automated.

    A flaw was found in how Puppet handled certain HTTP PUT requests. An     attacker with valid authentication credentials, and authorized to save to     the authenticated client's own report, could construct a malicious request     that could possibly cause the Puppet master to execute arbitrary code.
    (CVE-2013-2274)

    A flaw was found in how Puppet handled the template and inline_template     functions during catalog compilation. If an authenticated attacker were to     requests its catalog from the Puppet master, it could possibly result in     arbitrary code execution when the catalog is compiled. (CVE-2013-1640)

    A flaw was found in how Puppet handled certain HTTP GET requests. An     attacker with valid authentication credentials could construct a request to     retrieve catalogs from the Puppet master that they are not authorized to     access. (CVE-2013-1652)

    It was found that the default /etc/puppet/auth.conf configuration file     allowed an authenticated node to submit a report for any other node, which     could breach compliance requirements. (CVE-2013-2275)

    It was found that the /var/log/puppet directory was created world-readable.
    This could allow local users to obtain sensitive information from the     Puppet log files. (CVE-2012-6120)

    It was found that Puppet allowed the use of the SSLv2 protocol. A Puppet     agent could use this to negotiate the use of the weak SSLv2 protocol for     its connection to a Puppet master. (CVE-2013-1654)

    Red Hat would like to thank Puppet Labs for reporting CVE-2013-1640,     CVE-2013-1652, CVE-2013-1654, CVE-2013-2274, and CVE-2013-2275.

    Note: In most default configurations these issues are not directly     exploitable unless the attacker has access to the underlying OpenStack     infrastructure (e.g. shell access to a Nova compute node).

    Users of Red Hat OpenStack Folsom are advised to upgrade to these updated     packages, which upgrade Puppet to version 2.6.18 and correct these issues.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

远程 Redhat Enterprise Linux 6 主机上安装的程序包受到 RHSA-2013:0710 公告中提及的多个漏洞的影响。

    Puppet 允许对要管理的客户端进行配置、修补和配置，并使其自动化。

    在 Puppet 处理某些 HTTP PUT 请求的方式中发现缺陷。具有有效认证凭据并有权保存到经认证的客户端自己的报告的攻击者可构建恶意的请求，其可能造成 Puppet 主控端执行任意代码。
    (CVE-2013-2274)

    在目录编译期间 Puppet 处理 template 和 inline_template 函数的方式中发现一个缺陷。如果经身份验证的攻击者要从 Puppet 主控端请求其目录，则可能在编译目录时导致任意代码执行。 (CVE-2013-1640)

    在 Puppet 处理特定 HTTP GET 请求的方式中发现缺陷。具有有效认证凭据的攻击者可构造请求以从攻击者无权访问的 Puppet 主控端检索目录。 (CVE-2013-1652)

    发现默认 /etc/puppet/auth.conf 配置文件允许经过认证的节点为任何其他节点提交报告，这可能违反合规性要求。 (CVE-2013-2275)

    发现以全局可读创建 /var/log/puppet 目录。
    这可允许本地用户从 Puppet 日志文件获取敏感信息。 (CVE-2012-6120)

    发现 Puppet 允许使用 SSLv2 协议。Puppet 代理可利用此问题来协商弱 SSLv2 协议的使用，以连接到 Puppet 主控端。 (CVE-2013-1654)

    Red Hat 在此感谢 Puppet Labs 报告 CVE-2013-1640、 CVE-2013-1652、 CVE-2013-1654、 CVE-2013-2274和 CVE-2013-2275。

    注意：在大多数默认配置中，除非攻击者具有底层 OpenStack 基础架构的访问权限（例如，对 Nova 计算节点的 shell 访问），否则这些问题不是可直接利用的。

    建议 Red Hat OpenStack Folsom 用户升级这些更新后的程序包，以将 Puppet 升级到版本 2.6.18 并修正这些问题。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

リモートホストが GLSA-201308-04 で説明されている脆弱性の影響を受けます（Puppet：複数の脆弱性）

Puppet に複数の脆弱性が発見されました。詳細については、以下で参照されている CVE 識別子をレビューしてください。
 影響：

リモートの攻撃者がプロセスの権限で任意のコードを実行することで、サービス拒否状態を引き起こしたり、機密情報を取得したり、またはセキュリティ制限をバイパスしたりする可能性があります。
 回避策：

現時点で、既知の回避策はありません。

遠端主機受到 GLSA-201308-04 中所述的弱點影響 (Puppet：多個弱點)

在 Puppet 中發現多個弱點。如需詳細資訊，請檢閱以下提及的 CVE 識別碼。
 影響：

遠端攻擊者可能利用處理程序的權限，執行任意程式碼，進而引發拒絕服務情形、取得敏感資訊，或是繞過安全性限制。
 因應措施：

目前尚無已知的因應措施。

puppet パッケージが /var/log/puppet ディレクトリの権限と所有権を制限しないことが判明しました。これにより、機密情報が漏洩する可能性があります。

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

據發現，puppet 套件並未限制 /var/log/puppet 目錄的權限和擁有權，這可能使敏感資訊洩漏。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

远程主机受到 GLSA-201308-04 中所述漏洞的影响（Puppet：多种漏洞）

在 Puppet 中发现多种漏洞。请检查下面引用的 CVE 标识符以了解详细信息。
 影响：

远程攻击者可能以进程的权限执行任意代码，造成拒绝服务的情况，获得敏感信息或者绕过安全限制。
 变通方案：

目前无任何已知的变通方案。

遠端 Redhat Enterprise Linux 6 主機上安裝的套件受到 RHSA-2013:0710 公告中提及的多個弱點影響。

    Puppet 可讓用戶端的佈建、修補和組態受到管理並自動化。

    在 Puppet 處理特定 HTTP PUT 要求的方式中發現一個瑕疵。具備有效驗證認證且已獲授權在經驗證的用戶端自己的報告中儲存報告的攻擊者可建構可能造成 Puppet 主機執行任意程式碼的惡意要求。
    (CVE-2013-2274)

    在 Puppet 在目錄編譯期間處理範本和 inline_template 函式的方式中發現一個瑕疵。如果經驗證的攻擊者向 Puppet 主機要求其目錄，則可能在編譯目錄時導致任意程式碼執行。 (CVE-2013-1640)

    在 Puppet 處理特定 HTTP GET 要求的方式中發現一個瑕疵。具有有效驗證認證的攻擊者可建構要求，以從其未獲存取授權的 Puppet 主機擷取目錄。 (CVE-2013-1652)

    據發現，預設的 /etc/puppet/auth.conf 設定檔允許經驗證的節點提交任何其他節點的報告，其可違反合規性要求。 (CVE-2013-2275)

    據發現，已建立任何人皆可讀取的 /var/log/puppet 目錄。
    這可允許本機使用者從 Puppet 記錄檔取得敏感資訊。 (CVE-2012-6120)

    據發現，Puppet 允許使用 SSLv2 通訊協定。Puppet 代理程式可利用此弱點，針對其 Puppet 主機連線，交涉弱式 SSLv2 通訊協定的使用。 (CVE-2013-1654)

    Red Hat 要感謝 Puppet Labs 報告 CVE-2013-1640、 CVE-2013-1652、 CVE-2013-1654、 CVE-2013-2274和 CVE-2013-2275。

    注意：在大多數預設組態中，除非攻擊者可存取基礎 OpenStack 基礎結構 (例如，殼層存取 Nova 計算節點)，否則這些問題不會直接遭到惡意利用。

    建議 Red Hat OpenStack Folsom 使用者升級至這些更新版套件，其可將 Puppet 升級至 2.6.18 版並更正這些問題。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

已发现 puppet 程序包未限制 /var/log/puppet 目录的权限和所有权，这可能暴露敏感信息。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

ID	Name	Product	Family	Published	Updated	Severity
69464	GLSA-201308-04 : Puppet: Multiple vulnerabilities	Nessus	Gentoo Local Security Checks	8/25/2013	1/6/2021	high
82177	Debian DLA-29-1 : puppet security update	Nessus	Debian Local Security Checks	3/26/2015	1/11/2021	low
234379	RHEL 6：puppet（RHSA-2013:0710）	Nessus	Red Hat Local Security Checks	4/15/2025	4/15/2025	high
234379	RHEL 6 : puppet (RHSA-2013:0710)	Nessus	Red Hat Local Security Checks	4/15/2025	4/15/2025	high
234379	RHEL 6：puppet (RHSA-2013:0710)	Nessus	Red Hat Local Security Checks	4/15/2025	4/15/2025	high
69464	GLSA-201308-04：Puppet：複数の脆弱性	Nessus	Gentoo Local Security Checks	8/25/2013	1/6/2021	high
69464	GLSA-201308-04 : Puppet：多個弱點	Nessus	Gentoo Local Security Checks	8/25/2013	1/6/2021	high
82177	Debian DLA-29-1：puppet セキュリティ更新	Nessus	Debian Local Security Checks	3/26/2015	1/11/2021	low
82177	Debian DLA-29-1：puppet 安全性更新	Nessus	Debian Local Security Checks	3/26/2015	1/11/2021	low
69464	GLSA-201308-04：Puppet：多种漏洞	Nessus	Gentoo Local Security Checks	8/25/2013	1/6/2021	high
234379	RHEL 6：puppet (RHSA-2013:0710)	Nessus	Red Hat Local Security Checks	4/15/2025	4/15/2025	high
82177	Debian DLA-29-1：puppet 安全更新	Nessus	Debian Local Security Checks	3/26/2015	1/11/2021	low

Detections

Analytics

Plugins Search

high

low

high

high

high

high

high

low

low

high

high

low