CVE-2026-71322 in Lemur
Zusammenfassung
von VulDB • 18.08.2026
Lemur verwaltet die Erstellung von TLS-Zertifikaten. Vor Version 1.9.3 platzierte CertificateExport seine Ownership-Prüfung für das Zertifikat (CertificatePermission) innerhalb des plugin.requires_key-Zweigs für POST /api/1/certificates//export. Ein Plugin, das requires_key auf false festlegte, umging diese Prüfung, und der Handler übergab weiterhin cert.private_key als Argument sowie protokollierte ein key_view-Audit-Ereignis. Das mitgelieferte JavaTruststoreExportPlugin ignorierte den Schlüssel, sodass die unmittelbare Exposition auf öffentliches Zertifikatsmaterial und irreführende Audit-Einträge beschränkt war; ein zukünftiges Plugin hätte jedoch den bereitgestellten Schlüssel verwenden können. Die Korrektur übergibt keine privaten Schlüssel an Plugins, die keinen solchen benötigen, und schränkt Ownership-Prüfungen sowie key_view-Logging auf tatsächliche Exporte privater Schlüssel ein. Dieses Problem ist in Version 1.9.3 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.