CVE-2026-109141

Step-ca est un outil utilisé pour gérer des autorités de certification internes, et cette faille affecte les instances où les utilisateurs possèdent des rôles restreints liés à des AC spécifiques. Le problème survient car le logiciel ne parvient pas à appliquer ces restrictions aux requêtes qui ne sont pas liées à une AC précise, comme le point de terminaison d'importation groupée. Cela permet à un utilisateur restreint de contourner ses limitations et d'exécuter des actions administratives.

Un attaquant disposant d'un accès à un compte avec des privilèges limités peut utiliser cette faille pour importer de nouvelles AC enfants et leur assigner des ressources arbitraires, compromettant ainsi l'intégrité et la confidentialité de votre PKI. Bien que cela nécessite un accès réseau et un compte valide, aucune interaction de la part d'une victime n'est requise. Étant donné que l'attaque implique des appels API spécifiques et des exigences de configuration, la complexité est jugée élevée, mais l'impact sur la hiérarchie de confiance du système est sévère.