CVE-2026-55166

Lemur TLS sertifikatlarının yaradılmasını idarə edir. Versiya 1.9.2-dək autentifikasiya olunmuş istifadəçilər, effektiv server tərəfli təyinat məhdudiyyəti olmadan ACME orqanının acme_url parametrini təsir altına ala və AcmeHandler.setup_acme_client funksiyasının backend sorğuları göndərməsini tətikləyə bilirdilər. Hücumçu Lemur şəbəkə kontekstindən bulud instansiyasının metadata məlumatlarını və ya daxili xidmətləri hədəf ala və potensial olaraq host üçün əlçatan olan etibarnamələri əldə edə bilərdi. Bildirişdə həmçinin mülkiyyət və ya rol dəyişikliklərindən sonra sertifikat açarının materiallarına girişi qoruya bilən "creator-equality" avtorizasiya davranışı və həmin giriş yolunu fərqləndirmək üçün kifayət etməyən export_private_key audit konteksti müəyyən edilmişdir. Birlikdə götürdüklərsə, acme_url server-side request forgery (SSRF) və avtorizasiya zəifliyi bulud etibarnamələrini və uzunömürlü PKI gizli açarlarına girişi ifşa edə bilərdi. Düzəliş ACME_DIRECTORY_HOST_ALLOWLIST validasiyasını əlavə edir və açarın ixracı ilə bağlı audit hadisələrini yaradıcı (creator) və cari sahib (current-owner) konteksti ilə zənginləşdirir. Bu problem 1.9.2 versiyasında düzəldilmişdir.