CVE-2026-55166 in Lemur
सारांश
द्वारा VulDB • 18/08/2026
Lemur TLS प्रमाणपत्र निर्मिति का प्रबंधन करता है। संस्करण 1.9.2 से पहले, प्रमाणीकृत उपयोगकर्ता एक प्रभावी सर्वर-साइड गंतव्य प्रतिबंध के बिना ACME प्राधिकारी acme_url को प्रभावित कर सकते थे और AcmeHandler.setup_acme_client को ट्रिगर करके बैकएंड अनुरोध कर सकते थे। हमलावर Lemur नेटवर्क संदर्भ से क्लाउड इंस्टेंस मेटाडाटा या आंतरिक सेवाओं पर लक्ष्य बनाकर, होस्ट के लिए उपलब्ध प्रमाणपत्र प्राप्त करने में सक्षम हो सकता था। एडवाइजरी में निर्माता-बराबरिता प्राधिकरण व्यवहार की भी पहचान की गई है जो स्वामित्व या भूमिका परिवर्तनों के बाद प्रमाणपत्र कुंजी सामग्री तक पहुंच को बनाए रख सकती है, जिसमें उस एक्सेस पथ को अलग करने के लिए अपर्याप्त export_private_key ऑडिट संदर्भ होता है। साथ ही, acme_url सर्वर-साइड रिक्वेस्ट फॉर्जरी और प्राधिकरण कमज़ोरी क्लाउड प्रमाणपत्रों और लंबे समय तक चलने वाले PKI निजी कुंजी एक्सेस को उजागर कर सकती है। समाधान में ACME_DIRECTORY_HOST_ALLOWLIST सत्यापन जोड़ा गया है और निर्माता तथा वर्तमान-स्वामी संदर्भ के साथ key-export ऑडिट इवेंट्स को समृद्ध किया गया है। यह समस्या संस्करण 1.9.2 में ठीक की गई है।
If you want to get the best quality for vulnerability data then you always have to consider VulDB.