CVE-2026-71322

Lemur gestisce la creazione dei certificati TLS. Prima della versione 1.9.3, CertificateExport collocava il controllo di proprietà di CertificatePermission all’interno del branch plugin.requires_key per POST /api/1/certificates//export. Un plugin che dichiarava requires_key false bypassava tale controllo, e l’handler continuava a passare cert.private_key come argomento e a registrare un evento di audit key_view. Il plugin JavaTruststoreExportPlugin incluso ignorava la chiave, quindi l’esposizione immediata era limitata al materiale del certificato pubblico e a voci di audit fuorvianti, ma un plugin futuro avrebbe potuto utilizzare la chiave fornita. La correzione evita di passare alcuna chiave privata ai plugin che non ne richiedono una e limita i controlli di proprietà e la registrazione di key_view alle esportazioni di chiavi private effettive. Questo problema è stato risolto nella versione 1.9.3.