PT-2026-77286
CVE-2026-71417
·
تاريخ النشر
2026-08-18
·
تاريخ التحديث
2026-08-19
الوصف من
CVSS 3.1
7.3
عاليةالمقاييسAV:L/AC:L/PR:L/UI:N/S:C/C:N/I:L/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Lemur الأقدم من 1.9.3
الوصف
توجد مشكلة حيث يمكن لمستخدم غير مخصص للقراءة فقط إنشاء سجل مكرر عبر نقطة النهاية ’POST /api/1/certificates/upload‘ باستخدام نص شهادة آخر، أو
authority id، أو serial، أو external id دون الحاجة إلى إذن من الجهة المختصة الأساسية. وبالتالي، فإن نقطة النهاية ’PUT /api/1/certificates//revoke‘ لا تمنح الصلاحية للمتصل إلا بالنسبة للسجل المحدد، مما يسمح لمن أنشأ السجل المكرر بتجاوز CertificatePermission. ونظرًا لأن السجل المكرر يفتقر إلى cert.endpoints، فإنه يتجاوز أيضًا الإجراءات الوقائية التي تمنع إلغاء الشهادات التي تم نشرها. وهذا يسمح لمكونات إضافية الخاصة بالجهات المصدرة بإلغاء الشهادة الفعلية من جانب السلطة المانحة (CA) باستخدام certificate.body أو external id عبر بيانات اعتماد السلطة المخزنة، مما قد يؤدي إلى حدوث هجوم رفض الخدمة (DoS) عبر بروتوكول TLS على مستوى الأسطول بأكمله.التوصيات
قم بالتحديث إلى الإصدار 1.9.3.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾