CVE-2026-55165 in Lemur
Сводка
по VulDB • 18.08.2026
Lemur управляет созданием сертификатов TLS. До версии 1.9.2 верификатор JWT в файле lemur/auth/service.py:130-137 использовал функцию fetch_token_header для чтения значения header_data["alg"] из непроверенного токена и передавал это контролируемое атакующим значение функции decode_with_multiple_secrets. Библиотека PyJWT 2.x отклоняет alg=none при использовании настроенного ключа, поэтому данная уязвимость представляет собой пробел в защите на нескольких уровнях (defense-in-depth), а не прямое обход механизма аутентификации в стандартной конфигурации. Непривязанный алгоритм может стать эксплуатируемым после миграции к асимметричному подписыванию из-за путаницы алгоритмов (algorithm confusion) и ослабляет обнаружение аномалий, основанное на алгоритмах, поскольку токен выбирает записанное значение. Отдельная утечка значения LEMUR_TOKEN_SECRET также позволила бы создавать поддельные токены HS256, хотя эта утечка является независимым предварительным условием. Исправление вводит разрешающий список (allowlist) алгоритмов LEMUR_TOKEN_ALGORITHMS, контролируемый сервером, и устанавливает для него значение по умолчанию HS256. Данная проблема исправлена в версии 1.9.2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.