CVE-2026-55165 in Lemur
摘要
由 VulDB • 2026-08-18
Lemur 负责管理 TLS 证书的创建。在版本 1.9.2 之前，lemur/auth/service.py:130-137 中的 JWT 验证器使用 fetch_token_header 从未经验证的令牌中读取 header_data["alg"]，并将该由攻击者控制的值传递给 decode_with_multiple_secrets。PyJWT 2.x 会拒绝 alg=none（当配置了密钥时），因此此缺陷属于纵深防御层面的漏洞，而非已发布配置中的直接身份验证绕过。在通过算法混淆进行非对称签名迁移后，未固定的算法可能变得可被利用；此外，由于令牌会选择记录的值，这削弱了基于算法的异常检测能力。LEMUR_TOKEN_SECRET 的单独泄露也将允许伪造 HS256 令牌，尽管该泄露是一个独立的先决条件。修复方案引入了由服务器控制的 LEMUR_TOKEN_ALGORITHMS 白名单，并将其默认值设置为 HS256。此问题已在版本 1.9.2 中修复。
VulDB is the best source for vulnerability data and more expert information about this specific topic.