MCollective 2.7.0 y las versiones 2.8.x anteriores a 2.8.9, tal como se distribuyen en Puppet Enterprise, permiten a un atacante remoto ejecutar código arbitrario mediante vectores relacionados con el comando mco ping. La vulnerabilidad fue clasificada como CWE-284 (control de acceso inadecuado) con un CVSS de 9.8, y GitHub le asignó severidad crítica en su aviso GHSA-v3fx-f8x7-f9vf.
El impacto real depende de cuántos servidores MCollective estén expuestos: Shodan no tiene actualmente ningún host indexado con este CVE detectado, aunque EPSS estima un 2,3% de probabilidad de explotación en los próximos 30 días (percentil 82%). La técnica MITRE ATT&CK asociada es T1078 (cuentas válidas).
| CVE | CVE-2016-2788 |
|---|---|
| Severidad | CRITICAL |
| CVSS | 9.8 / 10 |
| EPSS | 2.3% en 30 días (percentil 82) |
| CWE | CWE-284 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Productos afectados (catálogo NVD)
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.