Säkerhetsinformation / 2017 / Säkerhetsinformation -- DSA-3862-1 puppet

Säkerhetsbulletin från Debian

DSA-3862-1 puppet -- säkerhetsuppdatering

Rapporterat den:

2017-05-25

Berörda paket:

puppet

Sårbara:

Ja

Referenser i säkerhetsdatabaser:

I Mitres CVE-förteckning: CVE-2017-2295.

Ytterligare information:

Man har upptäckt att obegränsad deserialisering av YAML-data som skickas från agenter till servern i puppet konfigurationshanteringssystem kunde resultera i körning av godtycklig kod.

Notera att denna rättning förstör bakåtkompatibilitet med Puppetagenter som är äldre än 3.2.2 och det finns inget säkert sätt att återställa detta. Detta påverkar puppet-agenter som kör på Debian wheezy; vi rekommenderar att uppdatera till puppetversionen som skeppas i wheezy-backports.

För den stabila utgåvan (Jessie) har detta problem rättats i version 3.7.2-4+deb8u1.

För den instabila distributionen (Sid) har detta problem rättats i version 4.8.2-5.

Vi rekommenderar att ni uppgraderar era puppet-paket.