CVE-2026-55163
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Lemur przed wersją 1.9.2 ma podatność w PUT /api/1/roles/, która autoryzuje aktualizacje na podstawie członkostwa w roli, a nie tylko administratora. Pozwala to nieuprzywilejowanemu członkowi roli na dodawanie lub usuwanie innych użytkowników oraz zmianę nazwy roli, co może prowadzić do eskalacji uprawnień i odmowy dostępu.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do przyznania sobie lub innym nieautoryzowanych uprawnień w rolach kontrolujących certyfikaty i autoryzacje, a także do usunięcia uprawnionych członków, co może zakłócić działanie systemu.
Rekomendacja
Zaktualizuj Lemur do wersji 1.9.2 lub nowszej, która wymaga uprawnień administratora dla operacji PUT na rolach.
Oryginalny opis (angielski, źródło NVD)
Lemur manages TLS certificate creation. Prior to 1.9.2, PUT /api/1/roles/ in lemur/roles/views.py:298 authorized updates with RoleMemberPermission(role_id), which allowed either an administrator or any existing member of the target role. The handler passed data["users"] and data["name"] to service.update, allowing a non-admin member to add or remove other users and rename the role. This enabled lateral privilege grants within roles that control certificate and authority access and could deny access by removing legitimate members. The DELETE handler already required admin_permission, confirming that the weaker PUT authorization was inconsistent. The fix applies the same administrator-only requirement to the PUT handler. This issue is fixed in version 1.9.2.