CVE-2026-109140

Krill est un serveur ACME utilisé pour automatiser l'émission de certificats SSL/TLS. La faille réside dans la manière dont le logiciel chiffre les jetons de session de connexion, en utilisant un nonce basé sur un compteur qui se réinitialise à zéro à chaque redémarrage du service. Cela amène le système à réutiliser les mêmes paires de chiffrement, créant une faiblesse cryptographique qui peut être exploitée pour déchiffrer ou forger des jetons.

Un attaquant disposant d'un compte utilisateur standard peut exploiter cette faille via le réseau pour obtenir un contrôle administratif total sur le serveur. Cela compromet la confidentialité et l'intégrité de tous les certificats gérés ainsi que la disponibilité du service. Bien que l'impact soit sévère, l'attaque est complexe à exécuter et nécessite que l'attaquant soit déjà authentifié sur le système.