PT-2026-136440
CVE-2026-115732
·
تاريخ النشر
2026-11-03
·
تاريخ التحديث
2026-11-04
الوصف من
CVSS 4.0
9.0
حرجةالمقاييسAV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المصاب والإصدارات المتأثرة
Puppet Server (الإصدارات المتأثرة غير محددة)
Puppet Enterprise (الإصدارات المتأثرة غير محددة)
الوصف
يحدث خطأ في التفويض أثناء مطابقة اسم الشهادة في trapperkeeper-authorization. يمكن للعميل الذي يحمل شهادة موقعة من قبل سلطة التصديق (CA) ويكون اسمها امتداداً أو اختصاراً لاسم مضيف مصرح به أن يتم تفويضه كأن يكون ذلك المضيف. تسمح هذه الثغرة بانتحال شخصية العقد، وفي Puppet Enterprise تحديداً، تمنح الوصول إلى إدارة سلطة التصديق وتنفيذ أوامر عن بُعد على العقد المدارة. يتطلب الاستغلال قيام سلطة التصديق بإصدار شهادة ذات اسم متصادم من خلال الموافقة أو التوقيع التلقائي.
التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾