CVE-2026-55165 in Lemur
要約
〜によって VulDB • 2026年08月18日
LemurはTLS証明書の作成を管理します。バージョン1.9.2より前では、lemur/auth/service.py:130-137のJWT検証機能が、未検証トークンからheader_data["alg"]を読み取るためにfetch_token_headerを使用し、攻撃者が制御可能な値をdecode_with_multiple_secretsに渡していました。PyJWT 2.xは設定されたキーに対してalg=noneを拒否するため、この欠陥は直接の認証回避ではなく、防御の多層化におけるギャップです。非対称署名への移行後、アルゴリズム混同により未固定のアルゴリズムが攻撃可能になる可能性があり、トークンが記録される値を選択することで、アルゴリズムベースの異常検知を弱体化させます。LEMUR_TOKEN_SECRETの別の開示もHS256トークンの偽造を許可しますが、この開示は独立した前提条件です。修正では、サーバー制御のLEMMER_TOKEN_ALGORITHMSホワイトリストが導入され、デフォルトでHS256に設定されます。本問題はバージョン1.9.2で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.