CVE-2011-3872 修復ツールキット

このモジュールは、CVE-2011-3872 AltNames 脆弱性を恒久的に修復するのに役立ちます。

使用ガイド

詳細な使用ガイドは以下を参照してください：

• README-detailed.markdown (Puppet でサイトを修復する場合)
• README-ssh-only.markdown (SSH でサイトを修復する場合)

概要

• Puppet マスターの certdnsnames 設定が一度でも有効になったことがある場合、CVE-2011-3872 AltNames 脆弱性を介した攻撃のリスクがあります。
• AltNames 脆弱性は、Puppet が影響を受けないバージョンに更新された後も残ります。手動またはこのヘルパーモジュールを使用して、具体的に修復する必要があります。

脆弱性の有無を確認するには？

Puppet マスターで certdnsnames を使用したことがある場合、潜在的に脆弱です。すべての Puppet Enterprise ユーザーは、ある時点で certdnsnames を使用しています。

脆弱かどうかを簡単にテストするには、このモジュールに含まれている scan_certs スクリプトを使用できます。(Puppet Enterprise では bin/ のコピーを、オープンソースの Puppet では bin/webrick のコピーを使用してください。)

# bin/scan_certs

Status as of: 2011-10-23 19:42:26

                   Total Certificates Found:      7 *
                     Potentially Vulnerable:      7 (100.0%)
...

このスクリプトは完璧ではありません。 Puppet CA の証明書キャッシュに依存しているためです。キャッシュが削除または変更されたことがある場合、スクリプトは偽陰性を返す可能性があります。また、任意のエージェントノードでローカル証明書を確認するには、以下を実行します：

openssl x509 -text -noout -in $(puppet agent --configprint hostcert)

...そして、X509v3 Subject Alternative Name フィールドを探します。

疑わしい場合は、脆弱性を修復することをお勧めします。

CVE-2011-3872 を修復する方法

サイトを保護するには、2つの要件を満たす必要があります：

1. Puppet マスターの certdnsnames 設定を無効にする、および/または Puppet を影響を受けないバージョンにアップグレードする。
2. エージェントがサイトの CA によってサブジェクト代替名として使用されたことのない「クリーンな」DNS 名でマスターに接続するようにする。

2つ目の要件を満たすには、複数の方法があります。次のいずれかを選択できます：

• 新しい DNS 名を選択し、すべてのエージェントがそれを使用するように再設定する
• CA を交換し、すべての証明書を再発行する (これにより、すべての DNS 名が「クリーン」になる)
• 両方を行う -- 当面は新しい DNS 名を使用し、都合の良いときにマスターの以前の DNS 名をクリーンにする

Puppet でサイトを修復するには、 このモジュールに含まれている README-detailed.markdown ファイルを参照してください。

SSH で直ちに CA を交換するには、 このモジュールに含まれている README-ssh-only.markdown ファイルを参照してください。

詳細情報

この脆弱性に関する詳細情報（FAQ、更新された Puppet バージョンの詳細、セキュリティホットフィックスのリンクを含む）については、http://puppetlabs.com/security/cve/cve-2011-3872 を参照してください。