Puppetlabs reports :

Puppet Server and PuppetDB provide useful performance and debugging information via their metrics API endpoints. For PuppetDB this may contain things like hostnames. Puppet Server reports resource names and titles for defined types (which may contain sensitive information) as well as function names and class names. Previously, these endpoints were open to the local network.

PE 2018.1.13 & 2019.4.0, Puppet Server 6.9.1 & 5.3.12, and PuppetDB 6.9.1 & 5.2.13 disable trapperkeeper-metrics /v1 metrics API and only allows /v2 access on localhost by default.

Puppetlabs レポート：

Puppet ServerおよびPuppetDBは、メトリクスAPIエンドポイントを通じて、有用なパフォーマンスおよびデバッグ情報を提供します。PuppetDBの場合、これにはホスト名などが含まれることがあります。Puppet Serverは、定義されたタイプのリソース名とタイトル（機密情報を含む可能性がある）、ならびに関数名とクラス名を報告します。以前は、これらのエンドポイントはローカルネットワークに対して開かれていました。

PE 2018.1.13 ＆ 2019.4.0、Puppet Server 6.9.1 ＆ 5.3.12、およびPuppetDB 6.9.1 ＆ 5.2.13は、 trapperkeeper-metrics /v1メトリクスAPIを無効にし、デフォルトでlocalhostの/v2アクセスのみを許可します。

The remote Redhat Enterprise Linux 7 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2020:4366 advisory.

    Red Hat Satellite is a systems management tool for Linux-based     infrastructure. It allows for provisioning, remote management, and     monitoring of multiple Linux deployments with a single centralized tool.

    Security Fix(es):

    * mysql-connector-java: Connector/J unspecified vulnerability (CPU October 2018) (CVE-2018-3258)
    * netty: HTTP Request Smuggling due to Transfer-Encoding whitespace mishandling (CVE-2020-7238)
    * rubygem-websocket-extensions: ReDoS vulnerability in Sec-WebSocket-Extensions parser (CVE-2020-7663)
    * puppet: puppet server and puppetDB may leak sensitive information via metrics API (CVE-2020-7943)
    * jackson-databind: multiple serialization gadgets (CVE-2020-8840 CVE-2020-9546 CVE-2020-9547     CVE-2020-9548 CVE-2020-10968 CVE-2020-10969 CVE-2020-11619 CVE-2020-14061 CVE-2020-14062 CVE-2020-14195)
    * foreman: unauthorized cache read on RPM-based installations through local user (CVE-2020-14334)
    * Satellite: Local user impersonation by Single sign-on (SSO) user leads to account takeover     (CVE-2020-14380)
    * Django: Incorrect HTTP detection with reverse-proxy connecting via HTTPS (CVE-2019-12781)
    * rubygem-rack: hijack sessions by using timing attacks targeting the session id (CVE-2019-16782)
    * rubygem-secure_headers: limited header injection when using dynamic overrides with user input     (CVE-2020-5216)
    * rubygem-secure_headers: directive injection when using dynamic overrides with user input (CVE-2020-5217)
    * rubygem-actionview: views that use the `j` or `escape_javascript` methods are susceptible to XSS attacks     (CVE-2020-5267)
    * puppet: Arbitrary catalog retrieval (CVE-2020-7942)
    * rubygem-rack: directory traversal in Rack::Directory (CVE-2020-8161)
    * rubygem-rack: percent-encoded cookies can be used to overwrite existing prefixed cookie names     (CVE-2020-8184)
    * hibernate-validator: Improper input validation in the interpolation of constraint error messages     (CVE-2020-10693)
    * puppet-agent: Puppet Agent does not properly verify SSL connection when downloading a CRL     (CVE-2018-11751)

    For more details about the security issue(s), including the impact, a CVSS     score, acknowledgments, and other related information, refer to the CVE     page(s) listed in the References section.

    Additional Changes:

    * Provides the Satellite Ansible Modules that allow for full automation of your Satellite configuration     and deployment.

    * Adds ability to install Satellite and Capsules and manage hosts in a IPv6 network environment

    * Ansible based Capsule Upgrade automation: Ability to centrally upgrade all of your Capsule servers with     a single job execution.

    * Platform upgrades to Postgres 12, Ansible 2.9, Ruby on Rails and latest version of Puppet

    * Support for HTTP UEFI provisioning

    * Support for CAC card authentication with Keycloak integration

    * Add ability to upgrade Red Hat Enterprise Linux 7 hosts to version 8 using the LEAPP based tooling.

    * Support for Red Hat Enterprise Linux Traces integration

    * satellite-maintain & foreman-maintain are now self updating

    * Notifications in the UI to warn users when subscriptions are expiring.

    The items above are not a complete list of changes. This update also fixes     several bugs and adds various enhancements. Documentation for these changes     is available from the Release Notes document linked to in the References     section.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートの Redhat Enterprise Linux 7 ホストにインストールされているパッケージは、RHSA-2020: 4366アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - rack-protection: authenticity_token.rbでのタイミング攻撃（CVE-2018-1000119）

  - puppet-agent: Puppet Agentは、CRLのダウンロード時にSSL接続を適切に検証しません（CVE-2018-11751）

  - mysql-connector-java: Connector/Jの詳細不明な脆弱性（CPU 2018年10月）（CVE-2018-3258）

  - hibernate-validator: safeHTMLバリデーターはXSSを阻止しない（CVE-2019-10219）

  - Django: HTTPS経由のリバースプロキシ接続での不適切なHTTP検出（CVE-2019-12781）

  - rubygem-rack: セッションIDを標的とするタイミング攻撃を使用してセッションをハイジャック（CVE-2019-16782）

  - hibernate-validator: 制約エラーメッセージの補間における不適切な入力検証（CVE-2020-10693）

  - jackson-databind: org.aoju.bus.proxy.provider.*.RmiProviderでのシリアル化ガジェット（CVE-2020-10968）

  - jackson-databind: javax.swing.JEditorPaneでのシリアル化ガジェット（CVE-2020-10969）

  - jackson-databind: org.springframeworkでのシリアル化ガジェット: spring-aop（CVE-2020-11619）

  - jackson-databind: weblogic/oracle-aqjmsでのシリアル化（CVE-2020-14061）

  - jackson-databind: com.sun.org.apache.xalan.internal.lib.sql.JNDIConnectionPoolでのシリアル化（CVE-2020-14062）

  - jackson-databind: org.jsecurity.realm.jndi.JndiRealmFactoryでのシリアル化（CVE-2020-14195）

  - foreman: ローカルユーザーによるRPMベースのインストールにおける不正なキャッシュ読み取り（CVE-2020-14334）

  - Satellite: シングルサインオン（SSO）ユーザーによるローカルのユーザーなりすましがアカウントの乗っ取りを引き起こします（CVE-2020-14380）

  - rubygem-secure_headers：ユーザー入力で動的オーバーライドを使用する際の限定されたヘッダーインジェクション（CVE-2020-5216）

  - rubygem-secure_headers：ユーザー入力で動的オーバーライドを使用する際のディレクティブインジェクション（CVE-2020-5217）

  - rubygem-actionview: 「j」または「escape_javascript」方法を使用するビューはXSS攻撃を受けやすくなります（CVE-2020-5267）

  -netty: 転送エンコード空白の不適切な処理によるHTTPリクエストのスマグリング（CVE-2020-7238）

  - rubygem-websocket-extensions: Sec-WebSocket-ExtensionsパーサーのReDoS脆弱性（CVE-2020-7663）

  - puppet：任意のカタログ取得（CVE-2020-7942）

  - puppet：puppetサーバーとpuppetDBは、メトリクスAPIを介して機密情報を漏洩する可能性があります（CVE-2020-7943）

  - rubygem-rack: Rackにおけるディレクトリトラバーサル: : ディレクトリ（CVE-2020-8161）

  - rubygem-rack: パーセントエンコードされたクッキーは、既存のプレフィックス付きクッキー名の上書きに使用される可能性があります（CVE-2020-8184）

  - jackson-databind: 特定のxbean-reflect/JNDIブロックがありません（CVE-2020-8840）

  - jackson-databind: shaded-hikari-configでのシリアル化ガジェット（CVE-2020-9546）

  - jackson-databind: ibatis-sqlmapでのシリアル化ガジェット（CVE-2020-9547）

  - jackson-databind: anteros-coreでのシリアル化ガジェット（CVE-2020-9548）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2020: 4366 公告中所提及的多個弱點影響。

  - rack-protection：authenticity_token.rb 發生計時攻擊 (CVE-2018-1000119)

  - puppet-agent：Puppet 代理程式在下載 CRL 時未正確驗證 SSL 連線 (CVE-2018-11751)

  - mysql-connector-java：Connector/J 不明弱點 (CPU 2018 年 10 月) (CVE-2018-3258)

  - hibernate-validator：safeHTML 驗證器允許 XSS (CVE-2019-10219)

  - Django：透過 HTTPS 連線的反向代理伺服器存在 HTTP 偵測錯誤問題 (CVE-2019-12781)

  - rubygem-rack：使用針對工作階段 ID 的定時攻擊來劫持工作階段 (CVE-2019-16782)

  - hibernate-validator：插入限制錯誤訊息時未正確驗證輸入 (CVE-2020-10693)

  - jackson-databind：org.aoju.bus.proxy.provider 中的序列化小工具。*.RmiProvider (CVE-2020-10968)

  - jackson-databind：javax.swing.JEditorPane 中的序列化小工具 (CVE-2020-10969)

  - jackson-databind：org.springframework 中的序列化小工具：spring-aop (CVE-2020-11619)

  - jackson-databind：weblogic/oracle-aqjms 中的序列化 (CVE-2020-14061)

  - jackson-databind：com.sun.org.apache.xalan.internal.lib.sql.JNDIConnectionPool 中的序列化 (CVE-2020-14062)

  - jackson-databind：org.jsecurity.realm.jndi.JndiRealmFactory 中的序列化 (CVE-2020-14195)

  - foreman：透過本機使用者在 RPM 型安裝上執行未經授權的快取讀取 (CVE-2020-14334)

  - Satellite：單一登入 (SSO) 使用者的本機使用者模擬導致帳戶接管 (CVE-2020-14380)

  - rubygem-secure_headers: 以使用者輸入使用動態覆寫時發生有限標頭插入 (CVE-2020-5216)

  - rubygem-secure_headers: 以使用者輸入使用動態覆寫時發生指令插入 (CVE-2020-5217)

  - rubygem-actionview：使用「j」或「escape_javascript」方法的檢視易受 XSS 攻擊 (CVE-2020-5267)

  - netty：因傳輸編碼空白處理不當而導致 HTTP 要求走私 (CVE-2020-7238)

  - rubygem-websocket-extensions：Sec-WebSocket-Extensions 剖析器中存在 ReDoS 弱點 (CVE-2020-7663)

  - puppet：任意目錄擷取 (CVE-2020-7942)

  - puppet：puppet 伺服器和 puppetDB 可能透過度量標準 API 洩漏敏感資訊 (CVE-2020-7943)

  - rubygem-rack：Rack: : 目錄中存在目錄遊走問題 (CVE-2020-8161)

  - rubygem-rack：以百分比編碼的 Cookie 可用來覆寫現有的前置 Cookie 名稱 (CVE-2020-8184)

  - jackson-databind：缺少某個 xbean-reflect/JNDI 封鎖 (CVE-2020-8840)

  - jackson-databind：shaded-hikari-config 中的序列化小工具 (CVE-2020-9546)

  - jackson-databind：ibatis-sqlmap 中的序列化小工具 (CVE-2020-9547)

  - jackson-databind：anteros-core 中的序列化小工具 (CVE-2020-9548)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2020: 4366 公告中提及的多个漏洞的影响。

  - rack-protection：authenticity_token.rb 中的时序攻击 (CVE-2018-1000119)

  - puppet-agent：Puppet Agent 在下载 CRL 时未正确验证 SSL 连接 (CVE-2018-11751)

  - mysql-connector-java：Connector/J 不明漏洞（2018 年 10 月 CPU） (CVE-2018-3258)

  - hibernate-validator：safeHTML 验证器允许 XSS (CVE-2019-10219)

  - Django：通过 HTTP 进行反向代理连接时未正确检测 HTTP (CVE-2019-12781)

  - rubygem-rack：使用针对会话 id 的时序攻击劫持会话 (CVE-2019-16782)

  - hibernate-validator：插入限制错误消息时未正确验证输入 (CVE-2020-10693)

  - jackson-databind：org.aoju.bus.proxy.provider.*.RmiProvider 中的序列化小工具 (CVE-2020-10968)

  - jackson-databind：javax.swing.JEditorPane 中的序列化小工具 (CVE-2020-10969)

  - jackson-databind：org.springframework 中的序列化小工具：spring-aop (CVE-2020-11619)

  - jackson-databind：weblogic/oracle-aqjms 中的序列化 (CVE-2020-14061)

  - jackson-databind：com.sun.org.apache.xalan.internal.lib.sql.JNDIConnectionPool 中的序列化 (CVE-2020-14062)

  - jackson-databind：org.jsecurity.realm.jndi.JndiRealmFactory 中的序列化 (CVE-2020-14195)

  - foreman：通过本地用户在基于 RPM 的安装上读取未经授权的缓存 (CVE-2020-14334)

  - Satellite：单点登录 (SSO) 用户模拟本地用户会导致帐户接管 (CVE-2020-14380)

  - rubygem-secure_headers：使用具有用户输入的动态覆盖时发生有限标头注入 (CVE-2020-5216)

  - rubygem-secure_headers：使用具有用户输入的动态替代时发生指令注入 (CVE-2020-5217)

  - rubygem-actionview：使用“j”或“escape_javascript“方法的视图容易受到 XSS 攻击 (CVE-2020-5267)

  - netty：发生 HTTP 请求走私，这是传输编码空白处理不当所致 (CVE-2020-7238)

  - rubygem-websocket-extensions：Sec-WebSocket-Extensions 解析器中存在 ReDoS 漏洞 (CVE-2020-7663)

  - puppet：任意目录检索 (CVE-2020-7942)

  - puppet：puppet 服务器和 puppetDB 可通过指标 API 泄露敏感信息 (CVE-2020-7943)

  - rubygem-rack：Rack: : Directory 中存在目录遍历 (CVE-2020-8161)

  - rubygem-rack：可使用以百分比编码的 cookie 覆盖现有的带前缀 cookie 名称 (CVE-2020-8184)

  - jackson-databind：缺少特定 xbean-reflect/JNDI 阻断 (CVE-2020-8840)

  - jackson-databind：shaded-hikari-config 中的序列化小工具 (CVE-2020-9546)

  - jackson-databind：ibatis-sqlmap 中的序列化小工具 (CVE-2020-9547)

  - jackson-databind：anteros-core 中的序列化小工具 (CVE-2020-9548)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	Name	Product	Family	Published	Updated	Severity
134843	FreeBSD : puppetserver and puppetdb -- Puppet Server and PuppetDB may leak sensitive information via metrics API (36def7ba-6d2b-11ea-b115-643150d3111d)	Nessus	FreeBSD Local Security Checks	3/24/2020	3/21/2024	high
134843	FreeBSD：puppetserverおよびpuppetdb -- Puppet ServerとPuppetDBは、メトリクスAPIを介して機密情報を漏洩する可能性があります（36def7ba-6d2b-11ea-b115-643150d3111d）	Nessus	FreeBSD Local Security Checks	3/24/2020	3/21/2024	high
142452	RHEL 7 : Satellite 6.8 (Important) (RHSA-2020:4366)	Nessus	Red Hat Local Security Checks	11/4/2020	6/3/2024	critical
142452	RHEL 7：Satellite 6.8リリース（重要度高）（RHSA-2020: 4366)	Nessus	Red Hat Local Security Checks	11/4/2020	6/3/2024	critical
142452	RHEL 7：Satellite 6.8 版本 (重要) (RHSA-2020: 4366)	Nessus	Red Hat Local Security Checks	11/4/2020	6/3/2024	critical
142452	RHEL 7：Satellite 6.8 版本（重要）(RHSA-2020: 4366)	Nessus	Red Hat Local Security Checks	11/4/2020	6/3/2024	critical

Detections

Analytics

Plugins Search

high

high

critical

critical

critical

critical