Une vulnérabilité critique des plateformes LXD et MicroCloud de Canonical pourrait permettre à un attaquant de se connecter en tant que client de confiance sans posséder la clé privée de ce client. Référencée sous le numéro CVE-2026-112816, la faille a obtenu le score CVSS maximal de 10,0.
Son exploitation nécessite un accès réseau à l’API HTTPS des produits ainsi que le certificat public d’un client déjà approuvé par le serveur. Une fois authentifié, l’attaquant pourrait agir avec les autorisations du client usurpé, notamment accéder au cluster et à ses machines virtuelles. Si ce compte disposait de privilèges administratifs, Canonical a indiqué que l’attaquant pourrait obtenir un accès root à la machine hôte.
La vulnérabilité concernait la manière dont LXD et MicroCloud validaient les certificats lors de l’authentification TLS mutuelle. Bien que la connexion prouve la possession de la clé privée associée au premier certificat de la chaîne, le serveur comparait tous les certificats présentés par le client avec son magasin de confiance. Un attaquant pouvait donc placer le certificat public d’un client de confiance derrière son propre certificat et être accepté comme ce client.
Une installation autonome de LXD n’expose pas l’API vulnérable par défaut. Elle écoute normalement sur un socket local, sauf si un administrateur active l’API réseau via le paramètre core.https_address. Dans les environnements MicroCloud, Canonical a identifié un risque supplémentaire : un attaquant capable d’intercepter le certificat public d’un membre au moment où celui-ci rejoint le cluster pourrait ensuite s’authentifier en tant que ce membre.
Les versions de LXD concernées répertoriées dans l’enregistrement CVE comprennent les versions 4.0.14, 5.0.10, 5.21.8 et 6.9. Canonical a publié des correctifs dans les canaux snap suivants : LXD 6.10.1 dans 6/stable, 5.21.9 dans 5.21/stable, 5.0.11 dans 5.0/stable et 4.0.15 dans 4.0/stable. Les versions corrigées de MicroCloud sont 3.4.1 dans 3/stable et 2.1.5 dans 2/stable.
Le problème a été signalé par le projet Incus, un fork communautaire de LXD, et son impact sur les produits de Canonical a été confirmé. Incus a corrigé la même vulnérabilité dans la version 7.6.0. Les paquets LXD des archives Ubuntu sont indiqués comme non concernés ou non distribués, ce qui laisse les versions snap comme versions corrigées pertinentes.
Il n’existe actuellement aucune indication publique que la vulnérabilité ait été exploitée. Une évaluation de la CISA datée du 30 octobre indique qu’aucune exploitation n’est connue, et le problème ne figure pas dans le catalogue des vulnérabilités connues et exploitées de la CISA. Aucun exploit fonctionnel n’a été publié.
Les administrateurs utilisant des installations snap doivent effectuer la mise à jour avec sudo snap refresh lxd et sudo snap refresh microcloud, puis vérifier les versions installées. Canonical a précisé que les versions correctives intermédiaires de LXD étaient encore transférées du canal candidate vers le canal stable au moment de la publication de son avis. En attendant l’application des mises à jour, restreindre l’accès réseau à l’API HTTPS peut réduire l’exposition ; Canonical et Incus ont indiqué qu’il n’existait aucune solution de contournement fondée sur la configuration. Les utilisateurs d’Incus doivent effectuer la mise à jour vers la version 7.6.0.
Sources: The Hacker News.