Canonical исправила критическую уязвимость LXD и MicroCloud
Canonical выпустила исправления для критической уязвимости CVE-2026-112816 в LXD и MicroCloud с максимальной оценкой CVSS 10.0. Ошибка позволяла подключиться к HTTPS API от имени уже доверенного клиента без владения его закрытым ключом, а при привилегированной учётной записи — получить root-доступ к хостовой машине.
Проблема затрагивает LXD и MicroCloud — средство, объединяющее несколько машин с LXD в кластер. Canonical опубликовала исправленные snap-версии LXD 6.10.1, 5.21.9, 5.0.11 и 4.0.15, а также MicroCloud 3.4.1 и 2.1.5.
Как обходилась аутентификация
Удалённые клиенты LXD и MicroCloud используют взаимную TLS-аутентификацию. Сервер доверяет клиенту, если его сертификат присутствует в хранилище доверенных идентификаторов. Уязвимый механизм проверял каждый сертификат, присланный клиентом, сопоставляя его с этим хранилищем.
Однако TLS-соединение подтверждает владение закрытым ключом только для первого, конечного сертификата в цепочке. Остальные сертификаты клиент может добавить сам. Поэтому атакующий мог взять открытый сертификат доверенного клиента, поместить его в свою цепочку после собственного сертификата и пройти проверку как этот клиент.
Какие системы подвержены риску
Для эксплуатации требуются сетевой доступ к HTTPS API и открытый сертификат клиента, которому сервер уже доверяет. Открытый сертификат не является секретом. Автономный LXD по умолчанию слушает только локальный сокет, но сетевой API может быть включён администратором через настройку core.https_address.
Для MicroCloud Canonical отдельно указала сценарий с перехватом публичного сертификата участника во время присоединения к кластеру. После этого злоумышленник сможет войти в систему от имени этого участника. Уязвимость обнаружил проект Incus, возникший как общественный форк LXD; в Incus она исправлена в версии 7.6.0.
Обновление и ограничение доступа
На установках через Snap Canonical рекомендует выполнить sudo snap refresh lxd и sudo snap refresh microcloud. На момент публикации бюллетеня исправленные точечные выпуски LXD ещё переводились из канала candidate в stable, поэтому после обновления необходимо проверить фактически установленную версию.
Временного исправления конфигурацией для LXD нет. До обновления следует ограничить круг сетевых адресов, которым доступен HTTPS API. CISA на 30 октября не располагало сведениями об эксплуатации CVE-2026-112816, уязвимость не включена в каталог Known Exploited Vulnerabilities, а публичный рабочий эксплойт не опубликован.
Для бизнеса практический приоритет — инвентаризировать узлы LXD и MicroCloud, установить указанные версии и проверить, не открыт ли API шире необходимого. В кластерах стоит отдельно контролировать сетевой доступ в момент подключения новых участников.