--- title: "Puppet Server に 2 件の欠陥（CVE-2026-115731・115732）: CA 署名済み証明書を持つクライアントがサーバー上でコード実行・他ノードになりすませる、CVSS v4.0 9.4・9.0" url: https://n-t-p.io/worldsecurity/articles/puppet-server-cve-2026-115731-115732-report-deserialization-cert-name-authz lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月7日 updated: 2026年11月7日 severity: 高 cve: CVE-2026-115731, CVE-2026-115732 --- # Puppet Server に 2 件の欠陥（CVE-2026-115731・115732）: CA 署名済み証明書を持つクライアントがサーバー上でコード実行・他ノードになりすませる、CVSS v4.0 9.4・9.0 > **TL;DR:** Puppet Server の 2 件（CVE-2026-115731 は CVSS v4.0 9.4、CVE-2026-115732 は 9.0）。CA 署名済み証明書を持つクライアントが、サーバー上でコードを実行したり他ノードになりすましたりできる。自動署名の構成では認証なしでも前提を満たしうる。前提に証明書が要る（PR:L）ため high。KEV 未掲載。対象版・修正版・悪用の有無は未確認。 **要点** - CVE-2026-115731: 細工したレポートのデシリアライズで、CA 署名済み証明書の持ち主が Puppet Server 上で任意のコードを実行できる。CVSS v4.0 9.4。 - CVE-2026-115732: 証明書名の照合不備で、名前が似た証明書の持ち主が他ノードとして認可される。Puppet Enterprise では CA 管理や管理下ノードでのコマンド実行にもつながりうる。CVSS v4.0 9.0。 - どちらも CA 署名済み証明書が前提。CA が強い確認なしに自動署名する構成では、認証なしの攻撃者も前提を満たしうる。 - NVD の状態は Received、EPSS はデータなし、KEV には載っていない（2026-11-04 時点）。 - 対象版・修正版の番号、悪用の有無・規模、NVD の最終評価は未確認。 Puppet Server に、CA（認証局）が署名した証明書を持つクライアントがサーバー上でコードを実行したり、他のノードになりすましたりできる 2 件の欠陥（CVE-2026-115731・CVE-2026-115732）が、2026-11-03 に NVD へ登録されました。登録元は Puppet 自身（security@puppet.com）で、評価は CVSS v4.0 です。 ## 何が起きるか - **CVE-2026-115731（CVSS v4.0 9.4）**: レポート処理のコードで、信頼できないデータをそのまま復元（デシリアライズ）してしまう欠陥です（CWE-94）。有効な CA 署名済みエージェント証明書を持つクライアントが、細工した rich-data 型を含むレポートを PUT で送ると、Puppet Server のサービスユーザー権限で任意のコードを実行できます。CA が強い確認なしに証明書を自動署名する構成では、認証なしのネットワーク攻撃者もそのような証明書を取得できるとされています。 - **CVE-2026-115732（CVSS v4.0 9.0）**: trapperkeeper-authorization の証明書名の照合に不備があります（CWE-697）。許可されたホスト名を延ばした・縮めた名前の CA 署名済み証明書を持つクライアントが、そのホストとして認可されます。他ノードへのなりすましに加え、Puppet Enterprise では CA 管理へのアクセスや、管理下ノードでのリモートコマンド実行につながるとされています。名前が衝突する証明書が必要で、CA が承認または自動署名で発行する場合に限られます。 ## 数値と severity - CVE-2026-115731: CVSS v4.0 9.4（AV:N/AC:L/AT:N/PR:L/UI:N、影響は機密性・完全性・可用性とも高）。 - CVE-2026-115732: CVSS v4.0 9.0（AV:N/AC:L/AT:P/PR:L/UI:N、同）。 - NVD の状態は Received（2026-11-04 時点）で、NVD 自身の評価はまだありません。FIRST の EPSS はデータなし。CISA の KEV には載っていません。 - 悪用には CA 署名済み証明書という前提（PR:L）があるため、severity は critical にせず high とします。自動署名の構成では前提が崩れ、実質的に認証なしになりうる点が最大の注意です。 ## 対策 - ベンダー（Puppet・Perforce）の勧告で対象の版と修正版を確認し、更新する。本稿では勧告の本文を取得できておらず、版の番号は書けません。 - CA の自動署名（autosign）を使っている場合は、強い確認なしの自動署名を止める、または署名の条件を厳しくする。 - 署名済み証明書の一覧を見直し、見覚えのないエージェント名や、既存のホスト名に似た名前がないか確認する。 ## 未確認の点 - 対象の版の範囲と修正版の番号（NVD の記載になく、Perforce の勧告ページは本文を取得できなかった）。 - 実際に悪用されているか、規模はどの程度か。 - Puppet Enterprise 以外（オープンソース版）で CVE-2026-115732 の影響がどこまで及ぶか。 - NVD の最終評価、EPSS、悪用コードの有無。 ## 出典 - NVD: CVE-2026-115731 - NVD: CVE-2026-115732 - Perforce サポートポータルの勧告（NVD の参照先。本文は未取得） ## 出典 - [NVD CVE-2026-115731](https://nvd.nist.gov/vuln/detail/CVE-2026-115731) — NIST NVD - [NVD CVE-2026-115732](https://nvd.nist.gov/vuln/detail/CVE-2026-115732) — NIST NVD - [Perforce 勧告（CVE-2026-115731）](https://portal.perforce.com/s/cve/a91Qi000003IaHpIAK/report-deserialization-code-execution) — Perforce - [Perforce 勧告（CVE-2026-115732）](https://portal.perforce.com/s/cve/a91Qi000003IaJRIA0/certificate-name-authorization-bypass) — Perforce - [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-115731) — FIRST --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/puppet-server-cve-2026-115731-115732-report-deserialization-cert-name-authz