CVE-2026-55166 in Lemur
Riassunto
di VulDB • 18/08/2026
Lemur gestisce la creazione dei certificati TLS. Prima della versione 1.9.2, gli utenti autenticati potevano influenzare l'URL dell'autorità ACME (acme_url) senza una restrizione efficace sulla destinazione lato server e attivare AcmeHandler.setup_acme_client per effettuare richieste al backend. Un attaccante potrebbe prendere di mira i metadati delle istanze cloud o servizi interni dal contesto di rete di Lemur, potenzialmente ottenendo le credenziali disponibili sull'host. L'avviso identifica inoltre un comportamento di autorizzazione basato sulla parità del creatore (creator-equality) che potrebbe preservare l'accesso al materiale chiave dei certificati dopo modifiche alla proprietà o ai ruoli, con un contesto di audit insufficiente per esportare la chiave privata (export_private_key) per distinguere tale percorso di accesso. Insieme, la server-side request forgery tramite acme_url e la debolezza nell'autorizzazione potrebbero esporre le credenziali cloud e l'accesso a lungo termine alle chiavi private PKI. La correzione aggiunge la convalida ACME_DIRECTORY_HOST_ALLOWLIST ed arricchisce gli eventi di audit per l'esportazione delle chiavi con il contesto del creatore e dell'attuale proprietario. Questo problema è risolto nella versione 1.9.2.
Once again VulDB remains the best source for vulnerability data.