CVE-2026-115731: RCE Critica in Puppet Server report-processing

Falla critica (CVSS 9,4) in Puppet Server permette RCE tramite report con dati serializzati dannosi.

CVE-2026-115731 è una vulnerabilità di deserialization nel report-processing di Puppet Server. Un client con certificato CA-signed può inviare un report con rich-data dannoso via PUT request per eseguire codice arbitrario con privilegi del servizio. Se la CA autofirma senza verifica forte, un attaccante in rete può ottenere il certificato necessario. Colpisce amministratori gestendo infrastrutture Puppet in produzione.

La vulnerabilità è assegnata un CVSS di 9,4 e dichiarata critica. È stata pubblicata dal NIST il 3 novembre 2026. Su Twitter e piattaforme sociali si registrano 2 post nelle ultime 24 ore con 6 interazioni totali, confermando consapevolezza moderata in comunità. Nessun exploit pubblico è stato confermato su repository GitHub, ma il rischio rimane elevato per istanze non patchate dato il valore critico del vettore di attacco.

La difesa prioritaria è l'inventario immediato di tutte le istanze Puppet Server in produzione e valutazione dell'upgrade a versione che contiene la correzione. I segnali pubblici indicano Puppet Enterprise 2023.8.13 tra le versioni corrette.

Controllare la configurazione della Certificate Authority: se autosign è abilitato, ridurlo o introdurre verifiche forti di identità pre-firma per limitare il rilascio di certificati a soli agent legittimi. Monitorare i log di Puppet Server per tentativi di invio di report con payload sospetto.

Verificare che il servizio Puppet eseguito con privilegi minimi sia configurato correttamente.

In sintesi

Cosa: Deserialization di dati non attendibili nel codice di elaborazione report di Puppet Server consente esecuzione arbitraria di codice. Un client con certificato CA-signed può inviare un report contenente un tipo rich-data dannoso via PUT request per eseguire codice con privilegi del servizio Puppet.
Gravità: CVSS 9,4 - Critica. RCE pura su componente core di infrastruttura DevOps.
Versioni interessate: Non specificato nella documentazione NVD.
Correzione: Non riportato nella documentazione NVD. Segnali pubblici indicano che Puppet Enterprise 2023.8.13 contiene una correzione.
Stato: CVE pubblicato 3 novembre 2026. Segnali di discussione pubblica (2 post X nelle ultime 24h, 6 interazioni). Nessun exploit pubblico confermato su GitHub.
Azione: Inventory immediato di istanze Puppet Server in produzione; valutare aggiornamento a versione che contiene correzione; verifica configurazione CA (autosign può aumentare rischio se non configurato con verifica forte).

Fonti: NVD, CVE-2026-115731

← Tutti gli articoli