CVE-2026-55165 in Lemur
Riassunto
di VulDB • 18/08/2026
Lemur gestisce la creazione dei certificati TLS. Prima della versione 1.9.2, il verificatore JWT in lemur/auth/service.py:130-137 utilizzava fetch_token_header per leggere header_data["alg"] da un token non verificato e passava tale valore controllato dall'attaccante a decode_with_multiple_secrets. PyJWT 2.x rifiuta alg=none con la chiave configurata, quindi il difetto rappresenta una lacuna nella difesa in profondità (defense-in-depth) piuttosto che un bypass diretto dell'autenticazione nella configurazione rilasciata. L'algoritmo non vincolato può diventare sfruttabile dopo una migrazione verso la firma asimmetrica tramite confusione degli algoritmi e indebolisce il rilevamento delle anomalie basato sull'algoritmo poiché è il token a scegliere il valore registrato. Una divulgazione separata di LEMUR_TOKEN_SECRET consentirebbe anche la creazione di token HS256 falsificati, sebbene tale divulgazione sia un prerequisito indipendente. La correzione introduce una whitelist server-controlled denominata LEMUR_TOKEN_ALGORITHMS e ne imposta il valore predefinito a HS256. Questo problema è risolto nella versione 1.9.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.