Canonical ने LXD और MicroCloud की 10.0 रेटिंग वाली खामी ठीक की

गड़बड़ी कहाँ थी

समस्या क्लाइंट सर्टिफ़िकेट चेन की जाँच में थी। TLS कनेक्शन के दौरान क्लाइंट सिर्फ़ चेन के पहले सर्टिफ़िकेट की प्राइवेट की का स्वामित्व साबित करता है। लेकिन सर्वर भेजे गए सभी सर्टिफ़िकेट को भरोसेमंद क्लाइंट के स्टोर से मिलाता था। इसलिए हमलावर पहले अपना सर्टिफ़िकेट रखकर उसके बाद भरोसेमंद क्लाइंट का सार्वजनिक सर्टिफ़िकेट जोड़ सकता था और उसके अधिकार पा लेता था।

MicroCloud में एक अलग परिदृश्य भी बताया गया है: क्लस्टर से जुड़ते समय किसी नोड का सार्वजनिक सर्टिफ़िकेट पकड़कर हमलावर उसी नोड का रूप धर सकता है। इस समस्या की ओर Canonical का ध्यान LXD के ओपन फ़ोर्क Incus के डेवलपर्स ने दिलाया। सर्वर का अपना सर्टिफ़िकेट TLS कनेक्शन में मिल जाता है; उसे चेन में जोड़ने पर डेटाबेस गेटवे तक पहुँच मिलती है, जबकि दूसरे नोड का सर्टिफ़िकेट क्लस्टर में आंतरिक पहुँच देता है। Incus में यह सुधार वर्ज़न 7.6.0 में आया है।

क्या करें

CodeScoring के अनुसार Incus में यह त्रुटि पहली रिलीज़ से मौजूद थी। इसी तरीके से भरोसेमंद सर्टिफ़िकेट स्टोर की दूसरों की प्रविष्टियाँ बढ़ाई या हटाई जा सकती थीं।

डिफ़ॉल्ट रूप से LXD लोकल Unix सॉकेट पर चलता है और नेटवर्क कनेक्शन नहीं लेता; नेटवर्क पहुँच core.https_address पैरामीटर से चालू होती है। ठीक की गई snap बिल्ड 29 अक्टूबर की हैं: LXD के लिए 6.10.1, 5.21.9, 5.0.11 और 4.0.15, तथा MicroCloud के लिए 3.4.1 और 2.1.5। Canonical ने sudo snap refresh lxd और sudo snap refresh microcloud चलाने की सलाह दी है। रोलआउट चरणबद्ध है, इसलिए अपडेट के बाद अपने चैनल के लिए वर्ज़न मिलाना चाहिए।

अपडेट से पहले मैनेजमेंट इंटरफ़ेस की पहुँच केवल भरोसेमंद नोड तक सीमित करनी चाहिए। Incus डेवलपर्स के अनुसार अपडेट के बिना इस खामी को बंद करने वाली कोई सेटिंग नहीं है। एडमिन को अपनी सूची में LXD, MicroCloud और Incus को भी शामिल करना चाहिए।