Krytyczna luka w LXD i MicroCloud pozwalała podszyć się pod zaufanego klienta

piątek, 6 listopada

Popularne

Ta strona używa plików cookies, aby zapewnić najlepszą jakość korzystania z naszego serwisu oraz do celów analitycznych. Klikając "Akceptuję", wyrażasz zgodę na używanie wszystkich plików cookies. Możesz również odrzucić zgodę, co spowoduje zablokowanie plików cookies analitycznych. Więcej informacji znajdziesz w naszej Polityce Prywatności.

Canonical poinformowało o krytycznej luce w LXD i MicroCloud, oznaczonej jako CVE-2026-112816. Błąd otrzymał maksymalną ocenę CVSS 10.0 i pozwalał napastnikowi zalogować się jako zaufany klient bez posiadania jego klucza prywatnego. Warunkiem było uzyskanie dostępu sieciowego do API HTTPS oraz posiadanie publicznego certyfikatu klienta, który serwer już akceptował. Po pomyślnym zalogowaniu napastnik mógł działać z uprawnieniami podszywanego konta, uzyskując dostęp do klastra i uruchomionych w nim maszyn wirtualnych. Przy koncie uprzywilejowanym skutkiem mogło być przejęcie uprawnień administratora systemu hosta.

Błąd w sprawdzaniu certyfikatów

LXD i MicroCloud udostępniają zdalnym klientom API za pomocą wzajemnego uwierzytelniania TLS, określanego też jako mutual TLS. Klient przedstawia certyfikat, a serwer porównuje go z listą zaakceptowanych tożsamości w magazynie zaufania, czyli trust store. Problem polegał na tym, że serwer analizował certyfikaty znajdujące się w całym przekazanym łańcuchu, chociaż połączenie TLS potwierdza posiadanie klucza prywatnego tylko dla certyfikatu końcowego. W efekcie publiczny certyfikat zaufanego klienta mógł zostać uznany za dowód tożsamości innej strony. Do wykorzystania luki potrzebny był dostęp do nasłuchującego API i publiczny certyfikat zaakceptowanego klienta. W standardowej instalacji samodzielny serwer LXD nie udostępnia tego API w sieci, ponieważ korzysta wyłącznie z lokalnego gniazda, chyba że administrator włączy dostęp sieciowy. W MicroCloud

Aktualizacja jest podstawową formą ochrony

Canonical wydało poprawki dla LXD i MicroCloud. W bazie CVE jako podatne wymieniono wersje LXD 4.0.14, 5.0.10, 5.21.8 i 6.9, przed odpowiadającymi im wydaniami naprawczymi. W instalacjach snap administratorzy powinni wykonać polecenia sudo snap refresh lxd oraz sudo snap refresh microcloud, a następnie sprawdzić faktycznie zainstalowane wersje. W chwili publikacji komunikatu poprawki LXD były jeszcze przenoszone z kanału candidate do stable, dlatego samo odświeżenie pakietu nie powinno zastępować weryfikacji wersji. Canonical nie podało obejścia konfiguracyjnego. Do czasu aktualizacji ograniczenie dostępu sieciowego do API zmniejsza ryzyko. Ten sam problem zgłosił projekt Incus, który naprawił go w wersji 7.6.0. Nie ma publicznych oznak wykorzystania luki w atakach, a CVE nie figuruje na liście CISA Known Exploited Vulnerabilities.

Popularne

Krytyczna luka w LXD i MicroCloud pozwalała podszyć się pod zaufanego klienta

Kluczowe informacje

Odkryj rewolucyjną metodę nauki języków

Błąd w sprawdzaniu certyfikatów

Aktualizacja jest podstawową formą ochrony

Pojęcia, które warto znać

CVSS

Wzajemne uwierzytelnianie TLS

Magazyn zaufania

Zobacz także

Microsoft wycofuje zaufanie do certyfikatów eMudhra w nadzwyczajnych aktualizacjach Windows

Tailscale przyspiesza poprawki po ujawnieniu luk Tailworm

CyberStrikeAI wykorzystał 44 agentów AI do automatyzacji ataków na organizacje w Japonii

Discord pozwoli wyszukiwarkom indeksować wiadomości z publicznych serwerów

Komentarze (0)

Dodaj komentarz

Popularne

Bezpieczeństwo kolejek górskich: przeciążenia to nie wszystko

Czy owady mają życie wewnętrzne? Nowe badania zmieniają spojrzenie na świadomość zwierząt

NASA pokazała osłonę sondy NEO Surveyor

Lawrence Lamont wyreżyseruje nową odsłonę serii „Friday” z Ice Cube’em

Nie żyje Rudi Fuchs, historyk sztuki i kurator Documenta 7