发布日期：2013-06-18
更新日期：2013-06-24

受影响系统：

Puppet Labs Puppet

描述：

---

CVE(CAN) ID: CVE-2013-3567

Puppet是帮助系统管理员管理基础架构的IT自动化软件。

puppet master在调用REST api时，从不受信任的客户端获取YAML，再反序列化，然后调用结果对象上的方法，攻击者可精心构造YAML负载，造成反序列化构造ruby进程中可用的类实例，然后执行负载内的代码。

<*来源：Ben Murphy
  
  链接：https://bugzilla.redhat.com/show_bug.cgi?id=974649
        http://people.canonical.com/~ubuntu-security/cve/2013/CVE-2013-3567.html
        http://puppetlabs.com/security/cve/cve-2013-3567/
*>

建议：

---

厂商补丁：

Puppet Labs
-----------
Puppet Labs已经为此发布了一个安全公告（cve-2013-3567）以及相应补丁:
cve-2013-3567：CVE-2013-3567 (Unauthenticated Remote Code Execution Vulnerability)
链接：http://puppetlabs.com/security/cve/cve-2013-3567/

浏览次数：3804
严重程度：0（网友投票）