CVE-2011-3872 修复工具包

该模块将帮助您永久修复 CVE-2011-3872 AltNames 漏洞。

使用指南

请参阅详细的使用指南，分别位于：

• README-detailed.markdown（用于通过 Puppet 修复您的站点）
• README-ssh-only.markdown（用于通过 SSH 修复您的站点）

摘要

• 如果您的 Puppet Master 的 certdnsnames 设置曾经被开启过，那么您的站点存在遭受 CVE-2011-3872 AltNames 漏洞攻击的风险。
• 即使在 Puppet 更新到不受影响的版本后，AltNames 漏洞仍然会存在。必须通过手动方式或使用本辅助模块进行专门修复。

我是否容易受到攻击？

如果您在 Puppet Master 上使用过 certdnsnames，则您可能容易受到攻击。所有 Puppet Enterprise 用户在某些时候都使用过 certdnsnames。

要快速测试您是否容易受到攻击，您可以使用该模块附带的 scan_certs 脚本。（对于 Puppet Enterprise，使用 bin/ 中的副本；对于开源 Puppet，使用 bin/webrick 中的副本。）

# bin/scan_certs

Status as of: 2011-10-23 19:42:26

                   Total Certificates Found:      7 *
                     Potentially Vulnerable:      7 (100.0%)
...

该脚本并非万无一失，因为它依赖于 Puppet CA 的证书缓存。如果该缓存曾被删除或修改，脚本可能会返回假阴性。您也可以通过运行以下命令检查任意代理节点上的本地证书：

openssl x509 -text -noout -in $(puppet agent --configprint hostcert)

...并查找 X509v3 Subject Alternative Name 字段。

当存在疑问时，我们建议修复此漏洞。

如何修复 CVE-2011-3872

您需要满足两个要求来保护您的站点：

1. 禁用 Puppet Master 的 certdnsnames 设置，和/或将 Puppet 升级到不受影响的版本。
2. 确保代理节点使用一个“干净的”DNS 名称联系 Master，该名称从未被站点的 CA 用作主题备用名称。

有多种方法可以满足第二个要求。您可以：

• 选择一个新 DNS 名称并重新配置所有代理节点使用该名称
• 替换 CA 并重新颁发所有证书（以使所有 DNS 名称都“干净”）
• 两者都做——立即使用新 DNS 名称，并在方便时清理 Master 之前的 DNS 名称

要通过 Puppet 修复您的站点，请参阅本模块附带的 README-detailed.markdown 文件。

要通过 SSH 立即替换 CA，请参阅本模块附带的 README-ssh-only.markdown 文件。

更多信息

有关此漏洞的更多信息，包括常见问题解答、更新后的 Puppet 版本详情以及安全热修复链接，请访问： http://puppetlabs.com/security/cve/cve-2011-3872。