Уязвимость в LXD и MicroCloud позволяла входить под видом доверенного клиента
Изображение: OpenAI
Ошибка проверки сертификатов в LXD и MicroCloud позволяла выдавать себя за доверенного клиента без его закрытого ключа, сообщает The Hacker News. Для эксплуатации CVE-2026-112816 с оценкой CVSS 10,0 нужны сетевой доступ к HTTPS API и открытый сертификат клиента, которому сервер уже доверяет; компания Canonical, разработчик LXD и MicroCloud, уже выпустила исправленные snap-версии обоих продуктов.
Злоумышленник получал права доверенного клиента и доступ к кластеру и его виртуальным машинам. Если учётная запись привилегированная, атака могла дать root-доступ к хосту, заявила Canonical.
Сервер искал доверенный сертификат во всей присланной цепочке, хотя TLS подтверждает владение закрытым ключом только для первого сертификата. Атакующий мог добавить чужой открытый сертификат после своего и пройти проверку.
У отдельного сервера LXD сетевой API по умолчанию выключен: его должен включить администратор. В MicroCloud, который объединяет несколько машин с LXD в один кластер, злоумышленник мог перехватить открытый сертификат участника при его присоединении к кластеру, а затем войти под его видом.
В записи CVE перечислены затронутые версии LXD: 4.0.14, 5.0.10, 5.21.8 и 6.9.
Пакеты LXD из штатных репозиториев Ubuntu либо не затронуты уязвимостью, либо не поставляются, поэтому исправления выпущены для snap-пакетов. Для обновления следует выполнить sudo snap refresh lxd и sudo snap refresh microcloud. После этого нужно проверить установленную версию: Canonical сообщала, что на момент её уведомления исправленные версии LXD ещё переводили в стабильный канал.
До обновления риск можно снизить, ограничив сетевой доступ к API. Canonical не предложила временного обходного решения для LXD.
Об ошибке сообщил проект Incus — форк LXD, который развивает сообщество. Пользователям Incus рекомендуют перейти на версию 7.6.0, в которой закрыли ту же уязвимость.
По оценке Агентства США по кибербезопасности и безопасности инфраструктуры (CISA) от 30 октября, об эксплуатации уязвимости в атаках неизвестно.
