Vulnerabilidad en lemur de Netflix (CVE-2026-55163)
Gravedad CVSS v3.1:
MEDIA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
18/08/2026
Última modificación:
22/10/2026
Descripción
Lemur gestiona la creación de certificados TLS. Antes de la versión 1.9.2, PUT /API/1/roles/ en lemur/roles/views.py:298 autorizaba las actualizaciones con RoleMemberPermission(role_id), lo que permitía a un administrador o a cualquier miembro existente del rol objetivo. El gestor pasaba data[’users’] y data[’name’] a service.update, permitiendo a un miembro no administrador añadir o eliminar otros usuarios y renombrar el rol. Esto permitía la concesión lateral de privilegios dentro de roles que controlan el acceso a certificados y autoridades, y podía denegar el acceso eliminando a miembros legítimos. El gestor DELETE ya requería admin_permission, confirmando que la autorización PUT más débil era inconsistente. La solución aplica el mismo requisito de solo administrador al gestor PUT. Este problema se ha solucionado en la versión 1.9.2.
Impacto
Puntuación base 3.x
6.30
Gravedad 3.x
MEDIA