Des attaquants disposant d’un certificat client OpenVox/Puppet peuvent provoquer l’exécution de code à distance sur le serveur OpenVox/Puppet en tirant parti d’une vulnérabilité de désérialisation Ruby. L’annonce faite par github.com détaille ce mécanisme critique : l’agent Puppet peut envoyer des « événements » au serveur via le point de terminaison PUT /puppet/v3/report. Ces événements, codés en JSON, sont ensuite traités par la méthode Puppet::Pops::Serialization::FromDataConverter.convert.

Ce processus mène à l’utilisation de Types::TypeParser.singleton.parse(type_value, @loader) par la suite, permettant à l’attaquant d’injecter un type personnalisé. L’invocation subséquente de RubyGenerator.new.create_class(self) déclenche une exécution de code directe sur l’openvox-server via cls.class_eval(class_def). Le payload JSON fourni en exemple suffit à exécuter la commande touch /tmp/pwned sous l’utilisateur Puppet sur l’hôte concerné.

Ce qui est dangereux, c’est que cette faille ne reste pas confinée à une attaque authentifiée. Dans les configurations d’entreprise courantes utilisant l’autosign, un certificat client valide peut être obtenu via le point d’inscription des clients OpenVox/Puppet. Une fois le contrôle obtenu avec les privilèges Puppet, l’attaquant accède à la clé de signature de l’Autorité de Certification (CA). Cela lui permettrait de signer des certificats avec des extensions EKU critiques, ce qui pourrait potentiellement mener à une exécution de commandes directe sur d’autres machines si l’orchestration est configurée en conséquence.

L’étendue du risque et les implications de la faille

Le problème est formalisé sous la référence CVE-2026-115731, qui est classée avec un score CVSS 4.0 de 9,4, indiquant une criticité élevée. Il est à noter que cette vulnérabilité touche également Puppet Enterprise et d’autres composants intégrés. Bien que les informations sur les mises à jour spécifiques ne soient pas toujours détaillées dans les rapports préliminaires, il est clair que la désérialisation malveillante est le point d’entrée.

Il faut cependant distinguer cette découverte de problèmes plus généraux. Par exemple, JPCERT/CC a récemment listé plusieurs failles de sécurité dans divers logiciels, incluant des problèmes de sécurité dans Puppet Server, Airbyte et OpenVox, soulignant que le secteur logiciel est continuellement sujet à des vulnérabilités de sécurité, même dans des systèmes robustes.

Que faire maintenant

Pour les gestionnaires de systèmes utilisant OpenVox/Puppet, la priorité absolue est d’appliquer les correctifs disponibles. Les versions corrigées doivent impérativement remplacer les versions affectées. De plus, l’annonce de github.com mentionne qu’une chaîne d’attaque non authentifiée peut être établie si l’on peut obtenir un certificat valide, ce qui signifie qu’une sécurisation stricte du processus d’enrôlement des clients est nécessaire.

D’autres outils, comme Airbyte, subissent des mises à jour importantes (version 2.2 en août 2026), introduisant des changements dans la gestion des ressources Helm, notamment le remplacement des valeurs global.jobs.resources par global.workloads.resources.mainContainer. Ce genre de changement, bien que différent, rappelle que la gestion des dépendances et la connaissance des changements de comportement sont primordiales pour éviter des ruptures de service.

Fiche technique

Données : NVD (NIST) et GitHub Advisory Database (CC BY 4.0, données adaptées).

Sources

• Authenticated RCE on OpenVox server via Event Deserialization, github.com
• Airbyte 2.2 | Airbyte Docs, docs.airbyte.com
• Weekly Report: NCOが「個人情報の漏えい等につながる不正アクセスへの対策について – ウェブサイトやモバイルアプリに関する基本的な対策の徹底 -」を公開, JPCERT/CC, 11 novembre 2026
• GHSA-c73h-2jmc-4mfp : An out-of-bounds write vulnerability in the CGI program of Zyxel GS1900-24E firmware…, GitHub Advisory Database (CC BY 4.0)
• CVE-2026-107441, NVD (NIST)