OpenVox ve Puppet'ta iki kritik açık: sunucuda uzaktan kod çalıştırma ve istemci kimliği taklidi
OpenVox projesi, CVSS 9 üstü olarak nitelediği iki açık için openvox-agent, openvox-server ve openvoxdb güncellemeleri yayımladı. Proje, açıkların bilinen tüm OpenVox ve Puppet sürümlerini etkilediğini ve açık kaynak Puppet'ın güvenlik güncellemesi almayacağını belirtiyor.
Puppet'ın topluluk çatalı OpenVox, 3 Kasım'da oss-security listesinde iki ciddi açığı duyurdu ve düzeltilmiş sürümleri yayımladı. Projeye göre iki açık da CVSS 9'un üzerinde ve bilinen tüm OpenVox ve Puppet sürümlerini ve uygulamalarını etkiliyor. İlki OpenVox Server'da uzaktan kod çalıştırma: agent'ın her çalıştırmadan sonra sunucuya gönderdiği raporda, bazı özel resource type senaryolarında serileştirilmiş Ruby nesneleri bulunabiliyor ve rapor işlenirken kötü niyetli bir nesne sunucuda kod çalıştırabiliyor. Debian güvenlik takibindeki kayıt bu açığı kimlik doğrulaması gerektiren bir RCE olarak tanımlıyor.
İkinci açık, Clojure tabanlı uygulamaların kullandığı trapperkeeper-authorization kütüphanesinde. auth.conf içindeki düz metin kurallar da wildcard gibi yorumlandığı için bir sertifika adının başka bir sertifika adını taklit etmesi ve onun adına bilgiye erişmesi mümkün oluyor; proje bazı varsayılan dışı yapılandırmalarda bunun diğer agent'ların catalog'larına exported resource eklemeye kadar gidebileceğini belirtiyor. Aktif istismar bildirilmedi, açıklar CISA KEV'de yok. CVE numaraları GitHub incelemesini bekliyor; şimdilik GHSA kimlikleriyle izleniyor.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| openvox-agent | 9.3.0 ve 8.32.0 öncesi | 9.3.0 / 8.32.0 |
| openvox-server | 9.2.0 ve 8.18.0 öncesi | 9.2.0 / 8.18.0 |
| openvoxdb | 9.2.0 ve 8.18.0 öncesi | 9.2.0 / 8.18.0 |
| Açık kaynak Puppet | Bilinen tüm sürümler (proje bildirimi) | Proje, Puppet'ın güvenlik güncellemesi almayacağını belirtiyor |
Ticari Puppet Enterprise için durum OpenVox bildiriminde yer almıyor; kendi üretici kanalınızı kontrol edin. Ayrıntılar için oss-security bildirimi ve GHSA kayıtlarını esas alın.
Beni etkiliyor mu?
Sunucu ve agent'larda kurulu paket sürümlerini salt okunur komutlarla kontrol edin:
rpm -q openvox-agent openvox-server openvoxdb
dpkg -l | grep -i -E "openvox|puppet"
systemctl status puppetserverSürüm tablodaki düzeltilmiş sürümden eskiyse ya da hâlâ açık kaynak Puppet paketleri kullanıyorsanız etkilenen gruptasınız. auth.conf'ta düz metin certname kuralı kullanıp kullanmadığınızı görmek için dosyayı okuyun (paket kurulumunda genellikle /etc/puppetlabs/puppetserver/conf.d/auth.conf).
Ne yapılmalı?
- Önce openvox-server ve openvoxdb'yi, ardından agent'ları düzeltilmiş sürümlere yükseltin; yapılandırma yönetimi altyapısı tüm sunuculara erişebildiği için bu işi yüksek öncelikli bir change olarak planlayın.
- Açık kaynak Puppet kullanıyorsanız proje, güvenlik güncellemesi gelmeyeceği için OpenVox'a geçişi öneriyor; Vox Pupuli blog yazısındaki geçiş ve geçici önlem tavsiyelerini değerlendirin.
- Hemen güncelleyemiyorsanız sunucunun agent bağlantı portuna yalnızca bilinen agent ağlarından erişilmesini sağlayın ve imzalanmış sertifika listesini gözden geçirip tanımadığınız ya da başka bir certname'e benzeyen sertifikaları inceleyin.
- Sunucu loglarında olağandışı rapor gönderimlerini ve beklenmedik certname'lerden gelen istekleri izleyin; exported resource kullanıyorsanız son catalog değişikliklerini kontrol edin.
- CVE numaraları atandığında tarama araçlarınızın imzalarını güncelleyin; masamız gelişmeleri takip ediyor.
