Lemur の認可チェック回避、設定未指定で全認証ユーザーが特権操作可能

要約

Lemur の `StrictRolePermission` と `AuthorityCreatorPermission` が設定フラグ未指定時に空の認可要件で初期化されるため、認可チェックが常に成功する脆弱性が報告された。Flask-Principal ライブラリの仕様によって、空の Need 集合では全認証ユーザーに対して `Permission.allows()` が True を返すため、最低権限の read-only ユーザーでも CA 作成、通知編集 (SSRF 脆弱性)、証明書アップロードなどの特権操作が可能になる。両フラグはデフォルト False なため、明示的にオプトインしていないすべての Lemur インストールが影響を受けた。修正版では設定フラグ未指定時のデフォルト動作を変更し、適切な認可要件を必須化した。