Vulnerabilidad en lemur de Netflix (CVE-2026-55162)

Lemur gestiona la creación de certificados TLS. Antes de la 1.9.2, lemur/certificates/verify.py aceptaba URL de puntos de distribución de CRL y de respondedores OCSP de extensiones de certificados cargados y las utilizaba en crl_verify y ocsp_verify sin una validación de destino adecuada. Un operador autenticado podría enviar un certificado a través de POST /API/1/certificates/upload y hacer que verify_string alcanzara destinos de loopback, RFC1918, link-local o de metadatos de instancia, como 169.254.169.254. Las solicitudes podrían sondear servicios internos y crear efectos secundarios desde la posición de red del host Lemur. La ruta CRL también utilizaba una caché ilimitada, permitiendo que entradas controladas por el atacante persistieran y consumieran memoria. La solución valida los destinos, admite listas blancas explícitas de hosts de confianza y limita la caché CRL. Este problema se corrige en la versión 1.9.2.