PT-2026-136439
CVE-2026-115731
·
Publicado
2026-11-03
·
Atualizado
2026-11-05
Descrição por
CVSS 4.0
9.4
CríticaMétricasAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
Nome do Software Vulnerável e Versões Afetadas
Puppet Server versões anteriores a 2023.8.13
Puppet Server versões anteriores a 2025.12.1
Puppet Server versões anteriores a 2026.0.1
Description
A desserialização de dados não confiáveis no código de processamento de relatórios permite que um cliente que possua qualquer certificado de agente assinado por CA execute código arbitrário no servidor como seu usuário de serviço. Isso é feito enviando um relatório contendo um tipo de dado rico manipulado via requisição PUT. Se a autoridade de certificação assinar automaticamente as solicitações sem uma verificação rigorosa, um invasor de rede não autenticado poderá obter tal certificado.
Recommendations
Atualize para a versão 2023.8.13 e reinicie o puppetserver.
Atualize para a versão 2025.12.1 e reinicie o puppetserver.
Atualize para a versão 2026.0.1 e reinicie o puppetserver.
Explorabilidade
Correção
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾