CVE-2026-71322 in Lemur
Riassunto
di VulDB • 20/08/2026
Lemur gestisce la creazione dei certificati TLS. Prima della versione 1.9.3, CertificateExport posizionava il controllo di proprietà CertificatePermission all'interno del ramo plugin.requires_key per l'endpoint POST /api/1/certificates//export. Un plugin che dichiarava requires_key false eludeva tale controllo e il handler passava comunque cert.private_key come argomento registrando un evento di audit key_view. Il JavaTruststoreExportPlugin incluso ignorava la chiave, quindi l'esposizione immediata era limitata ai materiali del certificato pubblico e a voci di audit fuorvianti, ma un plugin futuro avrebbe potuto consumare la chiave fornita. La correzione non passa alcuna private key ai plugin che non ne richiedono una e confina i controlli di proprietà e il logging key_view alle effettive esportazioni delle chiavi private. Questo problema è risolto nella versione 1.9.3.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.