--- title: "Krytyczna luka w LXD i MicroCloud pozwalała podszyć się pod zaufanego klienta" description: "Canonical załatało krytyczną lukę CVE-2026-112816 w LXD i MicroCloud, ocenioną na CVSS 10.0. Błąd umożliwiał podszycie się pod zaufanego klienta i dostęp do klastra oraz maszyn wirtualnych." publisher: "Najnowsze Informacje" language: "pl-PL" canonical_url: "https://najnowsze-informacje.pl/cyberbezpieczenstwo/krytyczna-luka-w-lxd-i-microcloud-pozwalala-podszyc-sie-pod-zaufanego-klienta" markdown_url: "https://najnowsze-informacje.pl/cyberbezpieczenstwo/krytyczna-luka-w-lxd-i-microcloud-pozwalala-podszyc-sie-pod-zaufanego-klienta/index.md" date_published: "2026-11-06T17:40:49.493Z" date_modified: "2026-11-06T17:40:49.493Z" author: "Redakcja" category: "Cyberbezpieczeństwo" tags: - "cyberbezpieczeństwo" - "lxd" - "microcloud" - "podatnosci" source_url: "https://thehackernews.com/2026/11/critical-lxd-and-microcloud-flaw-cvss.html" source_name: "The Hacker News" image_url: "https://najnowsze-informacje.pl/api/media/file/cyberbezpieczenstwo-unsplash-1793559732541.jpeg" image_alt: "a rack of servers in a server room" image_credit: "© Kevin Ache / Unsplash" image_credit_url: "https://unsplash.com/@kevinache" --- # Krytyczna luka w LXD i MicroCloud pozwalała podszyć się pod zaufanego klienta > Luka CVE-2026-112816 w LXD i MicroCloud umożliwiała logowanie jako zaufany klient bez posiadania jego klucza prywatnego. ## Kluczowe informacje - Luka CVE-2026-112816 otrzymała maksymalną ocenę CVSS 10.0. - Atak wymagał dostępu sieciowego do API HTTPS oraz publicznego certyfikatu zaufanego klienta. - Canonical udostępniło poprawki dla LXD i MicroCloud. - Administratorzy powinni zaktualizować snapy i ograniczyć dostęp do API do czasu potwierdzenia instalacji poprawki. Canonical poinformowało o krytycznej luce w LXD i MicroCloud, oznaczonej jako CVE-2026-112816. Błąd otrzymał maksymalną ocenę CVSS 10.0 i pozwalał napastnikowi zalogować się jako zaufany klient bez posiadania jego klucza prywatnego. Warunkiem było uzyskanie dostępu sieciowego do API HTTPS oraz posiadanie publicznego certyfikatu klienta, który serwer już akceptował. Po pomyślnym zalogowaniu napastnik mógł działać z uprawnieniami podszywanego konta, uzyskując dostęp do klastra i uruchomionych w nim maszyn wirtualnych. Przy koncie uprzywilejowanym skutkiem mogło być przejęcie uprawnień administratora systemu hosta. ## Błąd w sprawdzaniu certyfikatów LXD i MicroCloud udostępniają zdalnym klientom API za pomocą wzajemnego uwierzytelniania TLS, określanego też jako mutual TLS. Klient przedstawia certyfikat, a serwer porównuje go z listą zaakceptowanych tożsamości w magazynie zaufania, czyli trust store. Problem polegał na tym, że serwer analizował certyfikaty znajdujące się w całym przekazanym łańcuchu, chociaż połączenie TLS potwierdza posiadanie klucza prywatnego tylko dla certyfikatu końcowego. W efekcie publiczny certyfikat zaufanego klienta mógł zostać uznany za dowód tożsamości innej strony. Do wykorzystania luki potrzebny był dostęp do nasłuchującego API i publiczny certyfikat zaakceptowanego klienta. W standardowej instalacji samodzielny serwer LXD nie udostępnia tego API w sieci, ponieważ korzysta wyłącznie z lokalnego gniazda, chyba że administrator włączy dostęp sieciowy. W MicroCloud dodatkowe ryzyko dotyczyło certyfikatu członka przechwytanego podczas dołączania maszyny do klastra. ## Aktualizacja jest podstawową formą ochrony Canonical wydało poprawki dla LXD i MicroCloud. W bazie CVE jako podatne wymieniono wersje LXD 4.0.14, 5.0.10, 5.21.8 i 6.9, przed odpowiadającymi im wydaniami naprawczymi. W instalacjach snap administratorzy powinni wykonać polecenia sudo snap refresh lxd oraz sudo snap refresh microcloud, a następnie sprawdzić faktycznie zainstalowane wersje. W chwili publikacji komunikatu poprawki LXD były jeszcze przenoszone z kanału candidate do stable, dlatego samo odświeżenie pakietu nie powinno zastępować weryfikacji wersji. Canonical nie podało obejścia konfiguracyjnego. Do czasu aktualizacji ograniczenie dostępu sieciowego do API zmniejsza ryzyko. Ten sam problem zgłosił projekt Incus, który naprawił go w wersji 7.6.0. Nie ma publicznych oznak wykorzystania luki w atakach, a CVE nie figuruje na liście CISA Known Exploited Vulnerabilities. ## Wyjaśnienie pojęć ### [CVSS](https://najnowsze-informacje.pl/definicje/cvss) Standardowy system oceny ważności podatności bezpieczeństwa, wykorzystujący wynik liczbowy od 0,0 do 10,0 oraz opis czynników wpływających na ryzyko. ### [Wzajemne uwierzytelnianie TLS](https://najnowsze-informacje.pl/definicje/wzajemne-uwierzytelnianie-tls) Mechanizm, w którym zarówno serwer, jak i klient potwierdzają swoją tożsamość za pomocą certyfikatów podczas nawiązywania połączenia. ### [Magazyn zaufania](https://najnowsze-informacje.pl/definicje/magazyn-zaufania) Lista certyfikatów lub tożsamości, które serwer uznaje za uprawnione do połączenia. ## Źródło pierwotne [The Hacker News](https://thehackernews.com/2026/11/critical-lxd-and-microcloud-flaw-cvss.html) --- ## Informacje do cytowania - **Autor:** Redakcja - **Data publikacji:** 2026-11-06T17:40:49.493Z - **Ostatnia aktualizacja:** 2026-11-06T17:40:49.493Z - **Kategoria:** Cyberbezpieczeństwo - **Adres kanoniczny:** [https://najnowsze-informacje.pl/cyberbezpieczenstwo/krytyczna-luka-w-lxd-i-microcloud-pozwalala-podszyc-sie-pod-zaufanego-klienta](https://najnowsze-informacje.pl/cyberbezpieczenstwo/krytyczna-luka-w-lxd-i-microcloud-pozwalala-podszyc-sie-pod-zaufanego-klienta) - **Wersja Markdown:** [https://najnowsze-informacje.pl/cyberbezpieczenstwo/krytyczna-luka-w-lxd-i-microcloud-pozwalala-podszyc-sie-pod-zaufanego-klienta/index.md](https://najnowsze-informacje.pl/cyberbezpieczenstwo/krytyczna-luka-w-lxd-i-microcloud-pozwalala-podszyc-sie-pod-zaufanego-klienta/index.md) **Sugerowane cytowanie:** > Najnowsze Informacje, „Krytyczna luka w LXD i MicroCloud pozwalała podszyć się pod zaufanego klienta”, 2026-11-06, https://najnowsze-informacje.pl/cyberbezpieczenstwo/krytyczna-luka-w-lxd-i-microcloud-pozwalala-podszyc-sie-pod-zaufanego-klienta