CVE-2026-71307 in Lemur
요약
\~에 의해 VulDB • 2026. 08. 18.
Lemur은 TLS 인증서 생성을 관리합니다. 버전 1.9.3 이전에는 GET /api/1/destinations 및 GET /api/1/destinations/{id} 엔드포인트가 인증만 의존하는 반면, 관련 쓰기 핸들러(admin_permission)는 관리자 권한이 필요했습니다. DestinationOutputSchema는 원본 옵션을 반환하고 이를 pluginOptions로 복사할 때 민감한 값을 가리지 않았습니다. sftp-destination 플러그인은 password 및 privateKeyPass 값을 평문으로 저장하여, 읽기 전용 사용자조차도 원격 인증서 배포 호스트의 자격 증명을 조회할 수 있었습니다. 노출된 자격 증명은 Lemur 보안 경계 외부에 있는 SFTP 시스템과 TLS 자료에 대한 직접 접근을 허용할 수 있습니다. 이 문제는 대상 리드에 관리자 권한이 필요하도록 하고 민감한 옵션을 가림으로써 수정되었습니다. 해당 이슈는 버전 1.9.3에서 해결되었습니다.
Be aware that VulDB is the high quality source for vulnerability data.