Puppetは、潜在的なリスクを警告せずに、証明書名(certnames)にIPアドレスの使用を許可する

この脆弱性を悪用されると、攻撃者はPuppetインフラストラクチャ内のエージェントを偽装し、機密情報への不正アクセスや、システム設定の変更、さらにはマルウェアの配布といった悪意のある活動を行う可能性があります。攻撃者は、以前に使用されたIPアドレスを特定し、そのIPアドレスを使用してPuppetマスターに認証を試みることで、既存のエージェントになりすますことができます。この偽装攻撃は、Puppetの自動化プロセスを乗っ取り、広範囲にわたるシステムへの影響を及ぼす可能性があります。Puppet Enterprise環境では、この脆弱性は、エンタープライズレベルの管理機能へのアクセスを危険にさらす可能性があります。

1. 公開日2017-10-24
2. 更新日2024-11-29
3. EPSS 更新日2026-04-02

この脆弱性への対応策として、まずPuppetをバージョン2.7.18以降にアップデートすることを強く推奨します。アップデートがすぐに利用できない場合は、IPアドレスをcertnameとして使用することを避け、代わりにホスト名を使用するようにPuppetの設定を変更することで、リスクを軽減できます。WAFやプロキシサーバーを導入し、不正なIPアドレスからの認証試行をブロックすることも有効です。また、Puppetのログを監視し、異常な認証イベントを検出するためのルールを設定することも重要です。アップデート後、Puppetマスターの認証設定を確認し、不正なIPアドレスからのアクセスがないことを確認してください。