- Yama var
- Son 7 gün
- CWE-94
- CWE-502
CVE-2026-115731
Puppet Server rapor işlemede güvenilmeyen veri deserialization ile kod çalıştırma
- Yayımlandı
- Güncellendi
- 4 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- Perforce
Yönetici özeti
Bu açık, altyapı yönetim sunucunuzun ele geçirilmesine yol açabilir ve bu sunucu üzerinden bağlı tüm sistemlere erişim sağlanabilir. Etkilenen sürümler kullanılıyorsa risk yüksektir ve güncelleme acil olarak planlanmalıdır.
ÖzetTürkçe
Puppet Server'ın rapor işleme kodunda güvenilmeyen verinin deserialization işlemi sırasında doğrulanmadan işlenmesi kusuru bulunmaktadır. Puppet Enterprise'ın etkilenen sürümlerini kullanan ve herhangi bir CA tarafından imzalanmış ajan sertifikasına sahip istemciler, özel hazırlanmış bir rich-data türü içeren raporu PUT isteğiyle göndererek sunucuda kod çalıştırabilir. CA'nın güçlü doğrulama yapmadan istekleri otomatik imzalaması durumunda, kimlik doğrulaması olmayan bir ağ saldırganı da gerekli sertifikayı elde edebilir.
Saldırgan ne yapabilir?
Saldırgan, Puppet Server'ı hangi hizmet kullanıcısı olarak çalıştırıyorsa o yetkiyle sunucuda keyfi kod çalıştırabilir. Bu durum, yönetilen altyapının yapılandırma ve gizli bilgilerine erişim ile sistemin tamamen ele geçirilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
Deserialization of untrusted data in the report-processing code of Puppet, as used by Puppet Server, in the affected releases, allows a client that holds any CA-signed agent certificate to execute arbitrary code on the Puppet Server as its service user by submitting a report containing a crafted rich-data type via PUT request. Where the certificate authority autosigns requests without strong verification, an unauthenticated network attacker can obtain such a certificate.
Üreticinin çözüm notu (İngilizce)
Upgrade to a release that bundles puppet-agent 8.22.2 or 9.1.3 (Puppet Enterprise 2023.8.13, 2025.12.1, or 2026.0.1) and restart puppet server so the fixed code is loaded.
Ne yapmalı?
- Puppet Enterprise'ı, puppet-agent 8.22.2 veya 9.1.3 sürümünü içeren sürüme yükseltin (Puppet Enterprise 2023.8.13, 2025.12.1 veya 2026.0.1). Üretici
- Yükseltmeden sonra Puppet Server hizmetini yeniden başlatarak düzeltilmiş kodun yüklendiğinden emin olun. Üretici
- Yükseltme yapılana kadar, CA'nın istekleri otomatik imzalama ayarını devre dışı bırakın veya güçlü doğrulama gerektirecek şekilde sıkılaştırın. Genel öneri
Ek önlemler
- Puppet Server'a yalnızca güvenilen ağlardan erişimi kısıtlayın ve sunucunun gereksiz dış erişimini engelleyin. Genel öneri
- Yeni veya beklenmeyen ajan sertifikası imzalama olaylarını ve rapor gönderimlerini izleyip günlük kayıtlarını düzenli inceleyin. Genel öneri
- Puppet Server'ın çalıştığı hizmet kullanıcısının yetkilerini en aza indirin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Perforce Puppet Enterprise | ≥ 2023.8.0, < 2023.8.13 | 2023.8.13 |
| ≥ 2025.0.0, < 2025.12.1 | 2025.12.1 | |
| ≥ 2026.0.0, < 2026.0.1 | 2026.0.1 | |
| 2023.8.13 Etkilenmiyor | – | |
| 2025.12.1 Etkilenmiyor | – | |
| 2026.0.1 Etkilenmiyor | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.