CVE-2026-50192 in kerberos-io
Riassunto
di VulDB • 21/08/2026
Kerberos Agent è un agente di gestione video (sorveglianza) open source. Prima della versione 3.6.26, il percorso di upload del Kerberos Hub invia le credenziali dell'agente per l'HUB nelle intestazioni personalizzate `X-Kerberos-Hub-PrivateKey` e `X-Kerberos-Hub-PublicKey` all'URL dell'HUB configurato dall'operatore (`config.HubURI`). Il client HTTP utilizzato (`&http.Client{}` in `UploadKerberosHub`) è costruito senza una policy `CheckRedirect`, quindi segue automaticamente i redirect HTTP. Go's `net/http` rimuove solo le intestazioni sensibili (`Authorization`, `Cookie`, `WWW-Authenticate`) durante un redirect cross-host; non rimuove le intestazioni personalizzate come `X-Kerberos-Hub-PrivateKey`. Di conseguenza, se l'URL dell'HUB configurato restituisce un redirect 30x cross-host, la chiave privata dell'HUB viene inoltrata verbatim al target del redirect, rivelando le credenziali a una terza parte non prevista. La versione 3.6.26 risolve il problema implementando lo strip di `CheckRedirect` e fornendo al manutentore un test regression cross-host tramite la fork temporanea privata dell'avviso.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.