Puppet Server に 2 件の欠陥（CVE-2026-115731・115732）: CA 署名済み証明書を持つクライアントがサーバー上でコード実行・他ノードになりすませる、CVSS v4.0 9.4・9.0

Puppet Server に、CA（認証局）が署名した証明書を持つクライアントがサーバー上でコードを実行したり、他のノードになりすましたりできる 2 件の欠陥（CVE-2026-115731・CVE-2026-115732）が、2026-11-03 に NVD へ登録されました。登録元は Puppet 自身（security@puppet.com）で、評価は CVSS v4.0 です。

何が起きるか

• CVE-2026-115731（CVSS v4.0 9.4）: レポート処理のコードで、信頼できないデータをそのまま復元（デシリアライズ）してしまう欠陥です（CWE-94）。有効な CA 署名済みエージェント証明書を持つクライアントが、細工した rich-data 型を含むレポートを PUT で送ると、Puppet Server のサービスユーザー権限で任意のコードを実行できます。CA が強い確認なしに証明書を自動署名する構成では、認証なしのネットワーク攻撃者もそのような証明書を取得できるとされています。
• CVE-2026-115732（CVSS v4.0 9.0）: trapperkeeper-authorization の証明書名の照合に不備があります（CWE-697）。許可されたホスト名を延ばした・縮めた名前の CA 署名済み証明書を持つクライアントが、そのホストとして認可されます。他ノードへのなりすましに加え、Puppet Enterprise では CA 管理へのアクセスや、管理下ノードでのリモートコマンド実行につながるとされています。名前が衝突する証明書が必要で、CA が承認または自動署名で発行する場合に限られます。

数値と severity

• CVE-2026-115731: CVSS v4.0 9.4（AV:N/AC:L/AT:N/PR:L/UI:N、影響は機密性・完全性・可用性とも高）。
• CVE-2026-115732: CVSS v4.0 9.0（AV:N/AC:L/AT:P/PR:L/UI:N、同）。
• NVD の状態は Received（2026-11-04 時点）で、NVD 自身の評価はまだありません。FIRST の EPSS はデータなし。CISA の KEV には載っていません。
• 悪用には CA 署名済み証明書という前提（PR:L）があるため、severity は critical にせず high とします。自動署名の構成では前提が崩れ、実質的に認証なしになりうる点が最大の注意です。

対策

• ベンダー（Puppet・Perforce）の勧告で対象の版と修正版を確認し、更新する。本稿では勧告の本文を取得できておらず、版の番号は書けません。
• CA の自動署名（autosign）を使っている場合は、強い確認なしの自動署名を止める、または署名の条件を厳しくする。
• 署名済み証明書の一覧を見直し、見覚えのないエージェント名や、既存のホスト名に似た名前がないか確認する。

未確認の点

• 対象の版の範囲と修正版の番号（NVD の記載になく、Perforce の勧告ページは本文を取得できなかった）。
• 実際に悪用されているか、規模はどの程度か。
• Puppet Enterprise 以外（オープンソース版）で CVE-2026-115732 の影響がどこまで及ぶか。
• NVD の最終評価、EPSS、悪用コードの有無。

出典

• NVD: CVE-2026-115731
• NVD: CVE-2026-115732
• Perforce サポートポータルの勧告（NVD の参照先。本文は未取得）