CVE-2026-55163 in Lemur
요약
\~에 의해 VulDB • 2026. 08. 18.
Lemur은 TLS 인증서 생성을 관리합니다. 버전 1.9.2 이전의 lemur/roles/views.py:298에 있는 PUT /api/1/roles/ 엔드포인트는 RoleMemberPermission(role_id)를 사용하여 권한 부여 업데이트를 허용했으며, 이는 대상 역할의 관리자 또는 기존 구성원 누구나가 접근할 수 있음을 의미합니다. 해당 핸들러는 data["users"] 및 data["name"]을 service.update로 전달하여 비관리자 구성원이 다른 사용자를 추가하거나 제거하고 역할을 이름 변경하는 것을 가능하게 했습니다. 이로 인해 인증서 및 권한 액세스를 제어하는 역할 내에서 횡적 권한 부여가 발생했으며, 정당한 구성원을 제거함으로써 접근을 차단할 수 있었습니다. DELETE 핸들러는 이미 admin_permission이 필요했으므로, 더 약한 PUT 인증 방식은 불일치 상태였습니다. 이 문제는 1.9.2 버전에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.