CVE-2026-71303
WysokieCVSS 7.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Lemur przed wersją 1.9.3 nie sprawdzał listy dozwolonych hostów ACME przy aktualizacji acme_url przez PUT /api/1/authorities/, co pozwalało użytkownikowi z rolą authority na ustawienie adresu URL wewnętrznej usługi lub metadanych chmury (np. 169.254.169.254). Podczas kolejnej operacji wydawania certyfikatu Lemur wysyłał żądanie do tego adresu, co mogło ujawnić wewnętrzne usługi lub metadane chmury. Problem naprawiono w wersji 1.9.3.
Ocena ryzyka
Ryzyko obejmuje możliwość wykorzystania Lemur jako narzędzia do skanowania wewnętrznej sieci lub dostępu do metadanych chmury, co może prowadzić do eskalacji uprawnień lub wycieku wrażliwych informacji.
Rekomendacja
Zaleca się aktualizację Lemur do wersji 1.9.3 lub nowszej oraz weryfikację, czy żadne nieautoryzowane zmiany acme_url nie zostały wprowadzone. Należy również ograniczyć uprawnienia do ról authority.
Oryginalny opis (angielski, źródło NVD)
Lemur manages TLS certificate creation. Prior to 1.9.3, _validate_acme_url enforced ACME_DIRECTORY_HOST_ALLOWLIST when an authority was created, but PUT /api/1/authorities/ passed options to lemur/authorities/service.py without applying the same check. A user holding an authority role could replace the stored acme_url with an internal service or instance-metadata URL such as 169.254.169.254. The next issuance operation loaded that value and passed it to ClientV2.get_directory, causing an outbound request from the Lemur backend. This bypassed the creation-time mitigation for CVE-2026-55166 and could expose internal services or cloud metadata. The fix revalidates acme_url whenever authority options are updated. This issue is fixed in version 1.9.3.