Lemur управляет созданием сертификата TLS. До версии 1.9.1 StrictRolePermission и AuthorityCreatorPermission в lemur/auth/permissions.py вызывают flask_principal.Permission.__init__() с нулевыми объектами Need, когда ADMIN_ONLY_AUTHORITY_CREATION и LEMUR_STRICT_ROLE_ENFORCEMENT не установлены, поскольку оба флага по умолчанию имеют значение False. Flask-Principal Permission.allows() возвращает True, когда self.needs пуст, поэтому шлюз авторизации .can() разрешает все аутентифицированные идентификаторы, включая роль только для чтения.
Пользователь с доступом только для чтения может получить доступ к POST /api/1/authorities, POST /api/1/certificates/upload, POST /api/1/pending_certificates//upload, POST /api/1/notifications, PUT или DELETE /api/1/notifications/ и POST /api/1/domains для создания корневых центров сертификации, загрузки произвольных сертификатов, создания или редактирования уведомлений, которые достигают Приемник SSRF и создание записей домена. Явная установка любого флага в значение False по-прежнему приводит к разрешенному поведению. Эта проблема исправлена в версии 1.9.1.
Показать оригинальное описание (EN)
Lemur manages TLS certificate creation. Prior to 1.9.1, StrictRolePermission and AuthorityCreatorPermission in lemur/auth/permissions.py call flask_principal.Permission.__init__() with zero Need objects when ADMIN_ONLY_AUTHORITY_CREATION and LEMUR_STRICT_ROLE_ENFORCEMENT are unset because both flags default to False. Flask-Principal Permission.allows() returns True when self.needs is empty, so the .can() authorization gate permits every authenticated identity, including the read-only role. A read-only user can access POST /api/1/authorities, POST /api/1/certificates/upload, POST /api/1/pending_certificates//upload, POST /api/1/notifications, PUT or DELETE /api/1/notifications/, and POST /api/1/domains to create root Certificate Authorities, upload arbitrary certificates, create or edit notifications that reach an SSRF sink, and create domain entries. Explicitly setting either flag to False continues to opt into the permissive behavior. This issue is fixed in version 1.9.1.
Характеристики атаки
Последствия
Строка CVSS v3.1