[Date Prev][Date Next][Thread Prev][Thread Next][Date Index][Thread Index]
[debian-users:56094] [Translate] [SECURITY] [DSA 2451-1] puppet security update
かねこです。
URL 等は Debian-security-announce メーリングリストの元記事を確認
ください。
------>8------------>8------------>8------------>8------------>8-
- -------------------------------------------------------------------------
Debian Security Advisory DSA-2451-1 security@debian.org
http://www.debian.org/security/ Nico Golde
April 13, 2012 http://www.debian.org/security/faq
- -------------------------------------------------------------------------
Package : puppet
Vulnerability : 複数
Problem type : リモート
Debian-specific: いいえ
CVE IDs : CVE-2012-1906 CVE-2012-1986 CVE-2012-1987 CVE-2012-1988
集中型設定管理システム puppet に、複数の問題が発見されました。
The Common Vulnerabilities and Exposures project は以下の問題を認識
しています。
CVE-2012-1906
Puppet は Mac OS X のパッケージファイルダウンロード時に予測可能
な一時ファイル名を使用します。この欠陥により、ローカルの攻撃者か
らシステムの任意のファイルの上書きや、任意のパッケージのインスト
ールが可能です。
CVE-2012-1986
リモートファイルバケットからのファイル処理要求の処理の際に、puppet
を騙してファイルバケット向けのディスク領域として定義されている場
所を上書きすることが可能です。この欠陥は puppet master へのアクセ
ス権限を持つ認証済みのユーザから攻撃可能で、任意のファイルの読み
出しがおこなえます。
CVE-2012-1987
Puppet はファイルバケットへの書き込み要求を適切に処理していません。
この欠陥を攻撃することにより、puppet へのリソース枯渇によるサービ
ス拒否攻撃が可能です。
CVE-2012-1988
Puppet はファイルバケットへの要求を適切に処理していません。この欠
陥は puppet master へのアクセス権限を持たないがエージェント上での
証明書のアクセス権限は持っているユーザから攻撃可能で、細工したパ
ス名によりファイルバケット要求を作成することにより任意のコードの
実行がおこなえます。
安定版 (stable) ディストリビューション (squeeze) では、この問題はバー
ジョン 2.6.2-5+squeeze5 で修正されています。
テスト版ディストリビューション (wheezy) では、この問題はバージョン
2.7.13-1 で修正されています。
不安定版 (unstable) ディストリビューション (sid) では、この問題はバー
ジョン 2.7.13-1 で修正されています。
直ぐに puppet パッケージをアップグレードすることを勧めます。
Debian Security Advisories に関する説明、これらの更新をシステムに適用
する方法、FAQ などは http://www.debian.org/security/ を参照ください。
Mailing list: debian-security-announce@lists.debian.org
------>8------------>8------------>8------------>8------------>8-
--
Seiji Kaneko skaneko@xxxxxxxxxxxx
---------------------------------------------------------