Чтобы быстро проверить, уязвимы ли вы, воспользуйтесь скриптом scan_certs, входящим в состав этого модуля. (Используйте копию в bin/ для Puppet Enterprise и копию в bin/webrick для Puppet с открытым исходным кодом.)

Этот скрипт не является абсолютно надёжным, так как он полагается на кеш сертификатов CA Puppet. Если кеш когда-либо был удалён или изменён, скрипт может выдать ложноотрицательный результат. Вы также можете проверить локальный сертификат на любом узле-агенте, выполнив:

... и ища поле X509v3 Subject Alternative Name.

Если есть сомнения, мы рекомендуем устранить уязвимость.

Как устранить CVE-2011-3872

Для защиты вашего сайта необходимо выполнить два требования:

1. Отключить параметр certdnsnames мастер-сервера Puppet и/или обновить Puppet до незатронутой версии.
2. Убедиться, что агенты обращаются к мастер-серверу по «чистому» DNS-имени, которое никогда не использовалось как альтернативное имя субъекта CA вашего сайта.

Существует несколько способов выполнить второе требование. Вы можете:

• Выбрать новое DNS-имя и перенастроить всех агентов на его использование
• Заменить CA и перевыпустить все сертификаты (чтобы ВСЕ DNS-имена были «чистыми»)
• Сделать и то, и другое — использовать новое DNS-имя сейчас и очистить предыдущее DNS-имя мастер-сервера, когда вам будет удобно

ДЛЯ УСТРАНЕНИЯ УЯЗВИМОСТИ НА ВАШЕМ САЙТЕ С ПОМОЩЬЮ PUPPET обратитесь к файлу README-detailed.markdown, входящему в состав этого модуля.

ДЛЯ НЕМЕДЛЕННОЙ ЗАМЕНЫ CA С ПОМОЩЬЮ SSH обратитесь к файлу README-ssh-only.markdown, входящему в состав этого модуля.

Дополнительная информация

Для получения дополнительной информации об этой уязвимости, включая FAQ, подробности об обновлённых версиях Puppet и ссылки на горячие исправления безопасности, перейдите по адресу: http://puppetlabs.com/security/cve/cve-2011-3872.