Una vulnerabilidad crítica en las plataformas LXD y MicroCloud de Canonical podría permitir que un atacante iniciara sesión como un cliente de confianza sin poseer la clave privada de ese cliente. Identificada como CVE-2026-112816, la falla tiene una puntuación CVSS máxima de 10,0.
La explotación requiere acceso de red a la API HTTPS de los productos y el certificado público de un cliente que ya sea de confianza para el servidor. Una vez autenticado, el atacante podría operar con los permisos del cliente suplantado, incluido el acceso al clúster y a sus máquinas virtuales. Si esa cuenta tuviera privilegios administrativos, Canonical indicó que el atacante podría obtener acceso root a la máquina anfitriona.
La vulnerabilidad afectaba a la forma en que LXD y MicroCloud validaban los certificados durante la autenticación TLS mutua. Aunque la conexión demuestra la posesión de la clave privada asociada al primer certificado de la cadena, el servidor comparaba todos los certificados presentados por el cliente con su almacén de confianza. Por lo tanto, un atacante podía colocar el certificado disponible públicamente de un cliente de confianza detrás de su propio certificado y ser aceptado como ese cliente.
Una instalación independiente de LXD no expone la API vulnerable de forma predeterminada. Normalmente escucha en un socket local, a menos que un administrador habilite la API de red mediante el ajuste core.https_address. En entornos MicroCloud, Canonical identificó un riesgo adicional: un atacante capaz de capturar el certificado público de un miembro mientras este se incorpora al clúster podría autenticarse posteriormente como dicho miembro.
Las versiones afectadas de LXD indicadas en el registro de CVE incluyen 4.0.14, 5.0.10, 5.21.8 y 6.9. Canonical ha publicado correcciones mediante los siguientes canales de snap: LXD 6.10.1 en 6/stable, 5.21.9 en 5.21/stable, 5.0.11 en 5.0/stable y 4.0.15 en 4.0/stable. Las versiones corregidas de MicroCloud son la 3.4.1 en 3/stable y la 2.1.5 en 2/stable.
El problema fue comunicado por el proyecto Incus, una bifurcación comunitaria de LXD, y se confirmó que afectaba a los productos de Canonical. Incus corrigió la misma vulnerabilidad en la versión 7.6.0. Los paquetes de LXD del archivo de Ubuntu aparecen como no afectados o no distribuidos, por lo que las versiones de snap son las versiones corregidas pertinentes.
Actualmente no existe ninguna indicación pública de que la vulnerabilidad haya sido explotada. Una evaluación de CISA fechada el 30 de octubre afirma que no se conoce ninguna explotación, y el problema no figura en el catálogo de vulnerabilidades explotadas conocidas de CISA. No se ha publicado ningún exploit funcional.
Los administradores que utilicen instalaciones de snap deben actualizar con sudo snap refresh lxd y sudo snap refresh microcloud, y después verificar las versiones instaladas. Canonical señaló que las versiones de corrección de LXD aún estaban pasando del canal candidate a stable cuando se publicó su aviso. Hasta que se apliquen las actualizaciones, restringir el acceso de red a la API HTTPS puede reducir la exposición; Canonical e Incus informaron de que no existe una solución alternativa basada en la configuración. Los usuarios de Incus deben actualizar a la versión 7.6.0.
Fuentes: The Hacker News.