CVE-2026-71317
Açıklama
Lemur, TLS sertifikası oluşturma işlemlerini yönetir. 1.9.3 sürümünden önce, ADMIN_ONLY_AUTHORITY_CREATION false olduğunda, type=subca parametresiyle yapılan POST /api/1/authorities istekleri üst otorite üzerinde AuthorityPermission gerektirmiyordu. AssociatedAuthoritySchema, çağırıcı tarafından sağlanan üst otoriteyi çözümleyip otorite oluşturma işlemi üzerinden cryptography-issuer'a iletiyordu; bu işlem yeni bir ara makam imzalamak için üst otoritenin authority_certificate.private_key anahtarını kullanıyordu. Desteklenen bu yapılandırmadaki herhangi bir kimliği doğrulanmış salt okunur olmayan kullanıcı, hiçbir rolünün bulunmadığı dahili bir kök dizine alt CA bağlayabiliyordu. Ortaya çıkan ara makam güvenilir sertifikalar düzenleyebiliyordu ve özel anahtarı Lemur dışında kullanılarak normal düzenleme kontrolleri atlatılabiliyordu. Düzeltme, yayıncıyı çağırmadan önce sağlanan her üst otorite üzerindeki AuthorityPermission kontrolünü gerçekleştirir. Bu sorun 1.9.3 versiyonunda giderilmiştir.
Nasıl düzeltilir
- lemur1.9.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| lemurPyPI | v < 1.9.3 | 1.9.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.