News Blog / Details
Puppet Enterprise: Sicherheitslücke kann vollständige Systemübernahme ermöglichen
Das BSI meldet eine Schwachstelle in Puppet Enterprise: Bereits authentifizierte Angreifer können aus der Ferne eigenen Code mit Administratorrechten starten. Dadurch kann das gesamte System unter ihre Kontrolle geraten. Prüft gezielt, ob ihr Puppet Enterprise einsetzt. Für einen ergänzenden Blick auf eure Website-Sicherheit: check.n9c.io – kein Ersatz für die Prüfung dieser Lücke.
Das BSI informiert über eine Sicherheitslücke in Puppet Enterprise. Sie kann es Angreifern ermöglichen, über einen entfernten Zugriff eigenen Code mit Administratorrechten zu starten. Als mögliche Folge nennt die Meldung eine vollständige Übernahme des betroffenen Systems. Wichtig für die Einordnung: Der beschriebene Angriff setzt voraus, dass der Angreifer bereits authentifiziert ist. Es geht also nicht um einen Zugriff ohne vorherige Authentifizierung. Die möglichen Folgen sind dennoch weitreichend, weil der ausgeführte Code Administratorrechte erhält. Welche Versionen betroffen sind und welche Abhilfe verfügbar ist, geht aus dem vorliegenden Auszug nicht hervor. Wenn ihr für ein System verantwortlich seid, klärt zunächst, ob dort Puppet Enterprise eingesetzt wird, und zieht die verlinkte BSI-Meldung für die weitere Prüfung heran.
Für Website-Verantwortliche ist das außerdem ein Anlass, die eigene Website-Sicherheit im Blick zu behalten. Einen ergänzenden Website-Sicherheits-Check findet ihr unter check.n9c.io. Dieser ersetzt keine gezielte Prüfung der hier beschriebenen Puppet-Enterprise-Schwachstelle.
Quelle: BSI, https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2026-3342
