Osegi
Безопасность·2 мин чтения

Canonical закрыла уязвимость 10,0 по CVSS в LXD и MicroCloud

Canonical исправила CVE-2026-112816 в LXD и MicroCloud. Ошибка с оценкой 10,0 позволяла выдать себя за доверенного клиента без его закрытого ключа.

Server racks in a data center with a digital padlock overlay symbolizing a critical container management vulnerability.
Фото: Хабр
SUMODialoediviewergiftdetect

Canonical 28 октября сообщила об исправлении уязвимости CVE-2026-112816 в менеджере контейнеров и виртуальных машин LXD и платформе частного облака MicroCloud. В базе знаний CodeScoring ей присвоен критический уровень: 10,0 балла по CVSS 4.0. Брешь позволяет выдать себя за доверенного клиента, не имея его закрытого ключа. Для атаки нужны доступ к управляющему HTTPS API и открытый сертификат этого клиента.

Как работала ошибка

Проблема была в проверке клиентской цепочки сертификатов. При TLS-соединении клиент подтверждает владение закрытым ключом только для первого сертификата в цепочке. Сервер же сопоставлял с хранилищем доверенных клиентов все присланные сертификаты. Злоумышленник ставил первым свой сертификат, добавлял следом открытый сертификат доверенного клиента и получал его права. Собственный ключ он подтверждал честно, а личность сервер определял по другому сертификату, владение которым не проверялось.

Для MicroCloud описан отдельный сценарий: атакующий перехватывает открытый сертификат узла при его присоединении к кластеру и затем выдаёт себя за этот узел. Сертификат самого сервера можно получить при TLS-соединении; если добавить его в цепочку, открывается доступ к шлюзу базы данных, а сертификат другого узла даёт внутренний доступ к кластеру.

О проблеме Canonical сообщили разработчики Incus — открытого форка LXD. Исправление в Incus вышло в версии 7.6.0, более ранние версии считаются уязвимыми. По данным CodeScoring, там ошибка присутствовала с первого релиза, а тем же обходом можно было продлевать или удалять чужие записи в хранилище доверенных сертификатов.

Что делать администраторам

По умолчанию LXD работает через локальный Unix-сокет и не принимает сетевые подключения; сетевой доступ включается параметром core.https_address. Поэтому в первую очередь стоит проверить, доступен ли управляющий интерфейс из недоверенной сети.

Исправленные snap-сборки датированы 29 октября: для LXD это 6.10.1, 5.21.9, 5.0.11 и 4.0.15, для MicroCloud — 3.4.1 и 2.1.5. Canonical рекомендует выполнить sudo snap refresh lxd и sudo snap refresh microcloud. Раскатка идёт поэтапно, поэтому после обновления нужно сверить полученную версию со списком для своего канала.

До установки исправления подключения к API следует ограничить доверенными узлами: разработчики Incus подчёркивают, что настройки, устраняющей ошибку без обновления, нет. Кроме того, в перечень проверяемого ПО стоит включить LXD, MicroCloud и Incus на хостах с контейнерами и виртуальными машинами.

Приложения, на которые стоит взглянуть

SUMO: числовая головоломка

Выбирайте нужные клетки, складывайте, достигайте цели. Легко понять, сложно освоить. Бесплатно, для любого возраста.

Теги:canonicallxdmicrocloudincuscve-2026-112816vulnerability

Ещё за этот день

Показать все →

Ещё в рубрике: Безопасность

Показать все →