Perforce · Exploração confirmada

Puppet: exploits públicos para duas falhas críticas; correções já disponíveis

05 de nov. de 2026 · 1 min de leitura

A Neodyme publicou detalhes de exploit para duas falhas críticas no Puppet: execução de código no servidor via relatos forjados (CVE-2026-115731, CVSS 4.0 9.4 segundo a Perforce) e impersonação de nós por checagem deficiente de nome em certificado (CVE-2026-115732, CVSS 4.0 9.0). Perforce e OpenVox confirmaram correções; a fonte afirma que não há evidência de exploração maliciosa e que nenhum CVE está no KEV da CISA. Atualize o Puppet Enterprise para 2023.8.13, 2025.12.1 ou 2026.0.1 e reinicie o puppetserver.

Por Redação HIFY Radar Atualizado 05/11/2026 05:01 Receba isso todo dia →← Voltar ao feed 1 fonte

AltaFalhaExploração confirmadaCorrigido

Neste artigo

O que aconteceu
Por que importa
O que fazer
Para o time técnico
Linha do tempo
Fontes

O que aconteceu

A Neodyme, empresa de segurança, publicou detalhes de como explorar duas falhas críticas no Puppet, ferramenta de gestão de frota de servidores. Uma permite executar código no servidor central (CVSS 9.4); a outra permite se passar por um nó gerenciado (CVSS 9.0). Perforce e OpenVox já confirmaram correções disponíveis.

Por que importa

O servidor central do Puppet gerencia a frota de máquinas. Segundo a fonte, comprometê-lo pode expor as chaves da autoridade certificadora e, dependendo das configurações de orquestração, abrir caminho para os hosts gerenciados. Políticas fracas de autosign podem entregar ao atacante os certificados necessários para a exploração.

O que fazer

Atualize o Puppet Enterprise para 2023.8.13, 2025.12.1 ou 2026.0.1, conforme a versão usada, e reinicie o puppetserver. Administradores do OpenVox devem seguir os avisos separados de cada componente. Revise as políticas de autosign.

Para o time técnico

CVE: CVE-2026-115731, CVE-2026-115732
Afetados: Perforce (Puppet); OpenVox Puppet e OpenVox (certificados de agente e servidor de gestão da frota) · Puppet Enterprise 2023.8.0–2023.8.12, 2025.0.0–antes de 2025.12.1 e 2026.0.0. OpenVox: seguir os avisos separados dos componentes.
Exploração: Neodyme publicou detalhes de exploit (demonstração pública). A fonte destaca que demonstrações públicas não são evidência de exploração maliciosa; nenhum dos CVEs consta no snapshot do KEV da CISA verificado.
Correção: Atualizar para 2023.8.13, 2025.12.1 ou 2026.0.1, conforme a versão, e reiniciar o puppetserver para carregar a correção do RCE. OpenVox: correções via avisos separados por componente.
Vetor: Servidor Puppet. CVE-2026-115731: relatos (reports) forjados permitem execução de código no servidor. CVE-2026-115732: checagens deficientes de nome em certificado permitem impersonar nós. A exploração depende de certificados; políticas de autosign fracas podem permitir que atacantes os obtenham.
Mais detalhes: Perforce classifica CVE-2026-115731 como CVSS 4.0 9.4 e CVE-2026-115732 como CVSS 4.0 9.0. Comprometer o servidor central pode expor as chaves da CA e, conforme as configurações de orquestração, abrir caminho para os hosts gerenciados. Um certificado de agente pode virar rota para o servidor de gestão da frota.