El componente pxp-agent de Puppet Enterprise (2015.3.x antes de 2015.3.3) y Puppet Agent (1.3.x antes de 1.3.6) no valida correctamente los certificados del servidor. Un atacante remoto puede suplantar un broker con un certificado manipulado y ejecutar comandos arbitrarios en los nodos afectados. La vulnerabilidad es de severidad crítica (CVSS 9.8) y GitHub la clasifica como CRITICAL.
El impacto real depende de cuántos despliegues sigan usando esas versiones antiguas: Shodan no tiene hosts indexados con este CVE, y la probabilidad de explotación en los próximos 30 días es baja (EPSS 1.6%). Aun así, la falla permite ejecución remota de comandos, por lo que actualizar a Puppet Enterprise 2015.3.3 o Puppet Agent 1.3.6 (o superior) sigue siendo la recomendación directa.
| CVE | CVE-2016-2786 |
|---|---|
| Severidad | CRITICAL |
| CVSS | 9.8 / 10 |
| EPSS | 1.6% en 30 días (percentil 74) |
| CWE | CWE-20 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |