CVE-2026-50192 in kerberos-io
要約
〜によって VulDB • 2026年08月21日
Kerberos Agentは、オープンソースのビデオ（監視）管理エージェントです。バージョン 3.6.26 より前では、Kerberos Hub のアップロードパスにおいて、エージェントの Hub 認証情報がカスタム `X-Kerberos-Hub-PrivateKey` および `X-Kerberos-Hub-PublicKey` リクエストヘッダーを通じて、運用者が設定した Hub URL (`config.HubURI`) に送信されます。使用されている HTTP クライアント（`UploadKerberosHub` 内の `&http.Client{}`）は `CheckRedirect` ポリシーなしで構築されるため、HTTP リダイレクトを自動的に追従します。Go の `net/http` はクロスホストのリダイクト時に機密ヘッダー (`Authorization`, `Cookie`, `WWW-Authenticate`) のみを削除しますが、`X-Kerberos-Hub-PrivateKey` などのカスタムヘッダーは削除しません。その結果、設定された `HubURI` がクロスホストの 30x リダイレクトを返した場合、Hub プライベートキーがリダイレクト先に対してそのまま転送され、認証情報が意図しない第三者に漏洩します。バージョン 3.6.26 では、`CheckRedirect` を使用したヘッダー削除の実装と、アドバイザリのプライベート一時的フォークを通じてメンテナーへ提供されたクロスホスト回帰テストにより、この問題が修正されました。
If you want to get best quality of vulnerability data, you may have to visit VulDB.