Privát kulcs nélkül is be lehet lépni az LXD és a MicroCloud hibája miatt
Egy megbízható kliens nyilvános tanúsítványa is elég lehet ahhoz, hogy a támadó hozzáférjen egy klaszterhez és virtuális gépeihez. A Canonical LXD és MicroCloud termékét érintő sérülékenység javítása már elérhető.
A támadónak a hálózati API-t is el kell érnie
A CVE-2026-112816 azonosítójú hiba 10,0 pontot kapott a CVSS-skálán, amely a sérülékenység műszaki súlyosságát jelzi. A támadónak hálózati hozzáférésre van szüksége a HTTPS API-hoz, valamint egy már megbízhatónak elfogadott kliens nyilvános tanúsítványára.
A szerver hibásan ellenőrzi a kapcsolatban küldött tanúsítványokat. Emiatt a támadó a kliens privát kulcsa nélkül is annak adhatja ki magát. A Canonical szerint jogosult fiók megszemélyesítése esetén a támadó rendszergazdai hozzáférést is szerezhet a gazdagépen.
Melyik kiadásokat érinti?
A CVE-adatlap az LXD 4.0.14, 5.0.10, 5.21.8 és 6.9 kiadását nevezi érintettként. A javított verziók sorrendben a 4.0.15, 5.0.11, 5.21.9 és 6.10.1. A MicroCloud esetében a forrás nem sorolja fel az érintett vagy javított verziószámokat.
Önálló LXD-szerveren a hálózati API alapértelmezetten nincs bekapcsolva. A MicroCloud több LXD-t futtató gépet kapcsol klaszterbe; a Canonical szerint egy csatlakozó tag nyilvános tanúsítványának megszerzése után a támadó annak nevében léphet be.
Frissítés után a futó verziót is ellenőrizni kell
Snap telepítésnél a forrás az LXD és a MicroCloud frissítését javasolja. A Canonical figyelmeztetése idején az LXD javított kiadásai még fokozatosan kerültek át a stabil csatornára, ezért a frissítés után ellenőrizni kell a ténylegesen futó verziót.
Amíg nem áll rendelkezésre a javítás, a HTTPS API hálózati elérésének korlátozása csökkentheti a kockázatot. A forrás szerint nincs nyilvános jele annak, hogy támadásban kihasználták volna a hibát.
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum