Não existem curingas na própria lista de bloqueios, você pode usar caracteres curinga ao usar os comandos "versionlock add", mas eles só corresponderão aos pacotes que existem atualmente.
Provavelmente, a maneira mais fácil de resolver seu problema é adicionar exclusões para as coisas que você não deseja, por exemplo:
exclui = puppet-4. * puppet-3.9 *
Mas note que isso é uma suposição, já que o fantoche-3.8.999 não é necessariamente uma boa atualização. E se RHEL colocar um fantoche-3.9 que não seja necessariamente um upgrade ruim.