CVSS: 5.5EPSS: 0%CPEs: 1EXPL: 0CVE-2018-11752
https://notcve.org/view.php?id=CVE-2018-11752
Previous releases of the Puppet cisco_ios module output SSH session debug information including login credentials to a world readable file on every run. These issues have been resolved in the 0.4.0 release. Las versiones anteriores del módulo cisco_ios para Puppet envían información de depuración de sesión SSH incluyendo las credenciales de inicio de sesión a un archivo legible por todo el mundo en cada ejecución. Este problema se ha resuelto en la versión 0.4.0. • https://puppet.com/security/cve/CVE-2018-11752 • CWE-522: Insufficiently Protected Credentials •
CVSS: 7.8EPSS: 0%CPEs: 1EXPL: 0CVE-2018-11748
https://notcve.org/view.php?id=CVE-2018-11748
Previous releases of the Puppet device_manager module creates configuration files containing credentials that are world readable. This issue has been resolved as of device_manager 2.7.0. Las versiones anteriores del módulo device_manager para Puppet crean archivos de configuración que contienen credenciales legibles por todo el mundo. Este problema se ha resuelto en la versión 2.7.0 de device_manager. • https://puppet.com/security/cve/CVE-2018-11748 • CWE-522: Insufficiently Protected Credentials •
CVSS: 6.5EPSS: 0%CPEs: 1EXPL: 0CVE-2018-11750
https://notcve.org/view.php?id=CVE-2018-11750
Previous releases of the Puppet cisco_ios module did not validate a host's identity before starting a SSH connection. As of the 0.4.0 release of cisco_ios, host key checking is enabled by default. Las versiones anteriores del módulo cisco_ios para Puppet no validaron la identidad de un host antes de comenzar una conexión SSH. En la versión 0.4.0 de cisco_ios, la comprobación de claves de host está habilitada por defecto. • https://exchange.xforce.ibmcloud.com/vulnerabilities/150978 https://puppet.com/security/cve/CVE-2018-11750 • CWE-20: Improper Input Validation •
CVSS: 9.8EPSS: 0%CPEs: 3EXPL: 0CVE-2018-11749
https://notcve.org/view.php?id=CVE-2018-11749
When users are configured to use startTLS with RBAC LDAP, at login time, the user's credentials are sent via plaintext to the LDAP server. This affects Puppet Enterprise 2018.1.3, 2017.3.9, and 2016.4.14, and is fixed in Puppet Enterprise 2018.1.4, 2017.3.10, and 2016.4.15. It scored an 8.5 CVSS score. Cuando se configuran usuarios para emplear startTLS con RBAC LDAP, al iniciar sesión, se envían las credenciales de usuario mediante texto plano al servidor LDAP. Esto afecta a Puppet Enterprise 2018.1.3, 2017.3.9 y 2016.4.14, y se ha solucionado en Puppet Enterprise 2018.1.4, 2017.3.10 y 2016.4.15. • https://puppet.com/security/cve/cve-2018-11749 • CWE-319: Cleartext Transmission of Sensitive Information •
CVSS: 9.8EPSS: 0%CPEs: 1EXPL: 0CVE-2018-11746 – Puppet Discovery can leak authentication information
https://notcve.org/view.php?id=CVE-2018-11746
In Puppet Discovery prior to 1.2.0, when running Discovery against Windows hosts, WinRM connections can fall back to using basic auth over insecure channels if a HTTPS server is not available. This can expose the login credentials being used by Puppet Discovery. En Puppet Discovery en versiones anteriores a la 1.2.0, cuando se ejecuta Discovery contra hosts Windows, las conexiones WinRM pueden desconectarse usando un auth básico en canales no seguros si un servidor HTTPS no está disponible. Esto puede exponer las credenciales de inicio de sesión utilizadas por Puppet Discovery. • https://lists.apache.org/thread.html/rd0e44e8ef71eeaaa3cf3d1b8b41eb25894372e2995ec908ce7624d26%40%3Ccommits.pulsar.apache.org%3E https://puppet.com/security/cve/CVE-2018-11746 • CWE-522: Insufficiently Protected Credentials •