CVE-2026-55165

Lemur, TLS sertifika oluşturmayı yönetir. 1.9.2 sürümünden önce, lemur/auth/service.py:130-137 dosyasındaki JWT doğrulayıcı, doğrulanmamış bir belirteçten header_data["alg"] değerini okumak için fetch_token_header kullanıyor ve saldırgan tarafından kontrol edilen bu değeri decode_with_multiple_secrets'e aktarıyordu. PyJWT 2.x, yapılandırılmış anahtarla alg=none değerini reddeder; bu nedenle kusur, dağıtılan yapılandırmada doğrudan bir kimlik doğrulama atlatma yerine savunma derinliği boşluğudur. Sabitlenmemiş algoritma, asimetrik imzalama geçişinden sonra algoritma karışıklığı yoluyla sömürülebilir hale gelebilir ve belirteç kaydedilen değeri seçtiği için algoritma tabanlı anomali tespitini zayıflatır. LEMUR_TOKEN_SECRET'in ayrı bir şekilde açığa çıkması da sahte HS256 belirteçlerine izin verir, ancak bu açığa çıkma bağımsız bir ön koşuldur. Düzeltme, sunucu tarafından kontrol edilen LEMUR_TOKEN_ALGORITHMS izin listesini sunar ve varsayılan olarak HS256'ya ayarlar. Bu sorun 1.9.2 sürümünde giderilmiştir.