PT-2026-136439
CVE-2026-115731
·
تاريخ النشر
2026-11-03
·
تاريخ التحديث
2026-11-05
الوصف من
CVSS 4.0
9.4
حرجةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المصاب والإصدارات المتأثرة
Puppet Server الإصدارات السابقة لـ 2023.8.13
Puppet Server الإصدارات السابقة لـ 2025.12.1
Puppet Server الإصدارات السابقة لـ 2026.0.1
Description
تؤدي عملية إلغاء تسلسل البيانات غير الموثوقة في كود معالجة التقارير إلى السماح للعميل الذي يمتلك أي شهادة وكيل موقعة من قبل سلطة التصديق (CA) بتنفيذ رمز عشوائي على الخادم بصلاحيات مستخدم الخدمة. يتم ذلك عن طريق إرسال تقرير يحتوي على نوع بيانات غني (rich-data) مصمم خصيصاً عبر طلب PUT. وفي حال قيام سلطة التصديق بالتوقيع التلقائي على الطلبات دون تحقق قوي، يمكن لمهاجم شبكة غير مصرح له الحصول على هذه الشهادة.
Recommendations
التحديث إلى الإصدار 2023.8.13 وإعادة تشغيل puppetserver.
التحديث إلى الإصدار 2025.12.1 وإعادة تشغيل puppetserver.
التحديث إلى الإصدار 2026.0.1 وإعادة تشغيل puppetserver.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾