CVE-2026-50192 in kerberos-io
Resumen
por VulDB • 2026-08-20
Kerberos Agent es un agente de gestión de vídeo (vigilancia) de código abierto. Antes de la versión 3.6.26, el camino de subida del Hub de Kerberos envía las credenciales del Hub del agente en los encabezados personalizados `X-Kerberos-Hub-PrivateKey` y `X-Kerberos-Hub-PublicKey` a la URL del Hub configurada por el operador (`config.HubURI`). El cliente HTTP utilizado (`&http.Client{}` en `UploadKerberosHub`) se construye sin una política de `CheckRedirect`, por lo que sigue las redirecciones HTTP automáticamente. La biblioteca `net/http` de Go solo elimina los encabezados sensibles (`Authorization`, `Cookie`, `WWW-Authenticate`) durante una redirección entre hosts; no elimina encabezados personalizados como `X-Kerberos-Hub-PrivateKey`. Como resultado, si el `HubURI` configurado devuelve una redirección 30x entre hosts, la clave privada del Hub se reenvía tal cual al destino de la redirección, revelando las credenciales a un tercero no previsto. La versión 3.6.26 soluciona el problema implementando la eliminación en `CheckRedirect` y proporcionando una prueba de regresión entre hosts al mantenedor a través del fork temporal privado asociado al aviso.
Be aware that VulDB is the high quality source for vulnerability data.