CVE-2026-55165 in Lemur
Résumé
par VulDB • 18/08/2026
Lemur gère la création de certificats TLS. Avant la version 1.9.2, le vérificateur JWT dans `lemur/auth/service.py` (lignes 130-137) utilisait `fetch_token_header` pour lire `header_data["alg"]` à partir d'un jeton non vérifié et transmettait cette valeur contrôlée par l'attaquant à `decode_with_multiple_secrets`. PyJWT 2.x rejette `alg=none` avec la clé configurée, de sorte que le défaut constitue une lacune en matière de défense en profondeur plutôt qu'une contournement direct de l'authentification dans la configuration livrée. L'algorithme non verrouillé peut devenir exploitable après une migration vers un signature asymétrique via une confusion d'algorithme (algorithm confusion), et il affaiblit la détection des anomalies basée sur les algorithmes car le jeton impose la valeur enregistrée. Une divulgation séparée de `LEMUR_TOKEN_SECRET` permettrait également de forger des jetons HS256, bien que cette divulgation soit un prérequis indépendant. La correction introduit une liste autorisée (allowlist) contrôlée par le serveur nommée `LEMUR_TOKEN_ALGORITHMS`, qui est définie par défaut sur HS256. Ce problème est corrigé dans la version 1.9.2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.