CVE-2026-70666

Lemur TLS sertifikatlarının yaradılmasını idarə edir. 1.9.3 versiyasından əvvəl, authority-role üzvü yenidən təsdiqləmədən PUT /api/1/authorities/ vasitəsilə acme_url ünvanını yeniləyə və setup_acme_client_no_retry funksiyasını hücumçunun nəzarətində olan ACME serverinə yönləndirə bilərdi. ACME kataloqu və sifariş cavabları həmin server tərəfindən seçilmiş newNonce, newOrder, authorizations və finalize URL-lərini ehtiva edir. Lemur ClientV2 bu URL-lərin host-unun konfiqurasiya edilmiş kataloq host-u ilə uyğunlaşmasını tələb etmədən onları izləyirdi ki, bu da daxili xidmətlərə və ya bulud metadata son nöqtələrinə JWS imzalı sorğuların göndərilməsinə şərait yaradırdı. Problemin yaranması üçün bir ACME authority-si və həmin authority üçün səlahiyyətli istifadəçi tələb olunurdu, lakin qlobal administrator imtiyazları tələb edilmirdi. Düzəliş yeniləmələri yenidən təsdiqləyir və bütün ACME axını üçün yalnız bir icazə verilmiş host-u tətbiq etmək məqsədilə _PinnedClientNetwork tətbiq edir. Bu problem 1.9.3 versiyasında düzəldilib.