Разработчики Puppet и его открытого ответвления OpenVox исправили уязвимости, позволявшие выйти за пределы одного управляемого компьютера. В опубликованном 3 ноября описании подтверждено: обладатель действующего сертификата обычного агента мог выполнить код на центральном сервере. Этот сервер раздаёт узлам настройки и программы — поэтому его компрометация опаснее взлома отдельной машины.

Первый дефект находился в обработке отчётов. Агент отправляет серверу сведения о выполненных изменениях, но при разборе специально подготовленных данных сервер мог исполнить вложенный код. Демонстрация исследователя Neodyme запускала команду с правами служебного пользователя puppet. Если администраторы включили автоматическую выдачу сертификатов новым агентам, атакующий мог получить необходимый сертификат через регистрацию. Такая настройка не включена по умолчанию.

Доступ с правами puppet, согласно описанию разработчиков, открывает ключ удостоверяющего центра, которым подписываются сертификаты узлов. Это позволяет выпускать поддельные сертификаты; при определённых настройках оркестрации они могут дать возможность запускать команды и на других управляемых машинах. Автоматического захвата всей сети при любой конфигурации исследование не устанавливает.

Вторая ошибка затрагивала проверку имени в сертификате: сервер сравнивал лишь совпадающую часть имени и не проверял его полную длину. При доступной автоматической регистрации это позволяло выдать новый узел за уже существующий, скачать предназначенный ему каталог конфигурации с содержащимися в нём секретами либо отправить от его имени ложные сведения о состоянии системы. Здесь ломалась другая граница доверия — между соседними узлами.

Оба дефекта исправлены в OpenVox Server 8.18.0 и 9.2.0; для затронутых компонентов разработчики перечисляют версии в соответствующих уведомлениях. Это публично описанные уязвимости с демонстрацией эксплуатации, а не сообщение о подтверждённом массовом взломе. Число реально атакованных установок из этих материалов неизвестно.