Puppet 远程代码执行漏洞（CVE-2013-3567）

Puppet 远程代码执行漏洞（CVE-2013-3567）

发布日期：2013-06-18
更新日期：2013-06-24

受影响系统：
Puppet Labs Puppet
描述：
--------------------------------------------------------------------------------
CVE(CAN) ID: CVE-2013-3567
 
Puppet是帮助系统管理员管理基础架构的IT自动化软件。
 
puppet master在调用REST api时，从不受信任的客户端获取YAML，再反序列化，然后调用结果对象上的方法，攻击者可精心构造YAML负载，造成反序列化构造ruby进程中可用的类实例，然后执行负载内的代码。
 
<*来源：Ben Murphy
 
  链接：https://bugzilla.RedHat.com/show_bug.cgi?id=974649
        http://people.canonical.com/~Ubuntu-security/cve/2013/CVE-2013-3567.html
        http://puppetlabs.com/security/cve/cve-2013-3567/
 *>

建议：
--------------------------------------------------------------------------------
厂商补丁：
 
Puppet Labs
 -----------
 Puppet Labs已经为此发布了一个安全公告（cve-2013-3567）以及相应补丁:
 cve-2013-3567：CVE-2013-3567 (Unauthenticated Remote Code Execution Vulnerability)
 链接：http://puppetlabs.com/security/cve/cve-2013-3567/

Puppet 的详细介绍：请点这里
Puppet 的下载地址：请点这里