Una vulnerabilità critica nelle piattaforme LXD e MicroCloud di Canonical potrebbe consentire a un aggressore di accedere come client attendibile senza possedere la chiave privata di quel client. Tracciata come CVE-2026-112816, la falla ha ottenuto il punteggio CVSS massimo, pari a 10.0.
Lo sfruttamento richiede l’accesso di rete all’API HTTPS dei prodotti e al certificato pubblico di un client già considerato attendibile dal server. Una volta autenticato, l’aggressore potrebbe operare con i permessi del client impersonato, incluso l’accesso al cluster e alle relative macchine virtuali. Se quell’account disponesse di privilegi amministrativi, Canonical ha dichiarato che l’aggressore potrebbe ottenere l’accesso root alla macchina host.
La vulnerabilità riguardava il modo in cui LXD e MicroCloud convalidavano i certificati durante l’autenticazione TLS reciproca. Sebbene la connessione dimostri il possesso della chiave privata associata al primo certificato della catena, il server confrontava tutti i certificati presentati dal client con il proprio archivio di attendibilità. Un aggressore poteva quindi inserire il certificato pubblicamente disponibile di un client attendibile dietro il proprio certificato ed essere accettato come quel client.
Un’installazione autonoma di LXD non espone per impostazione predefinita l’API vulnerabile. Normalmente ascolta su un socket locale, a meno che un amministratore non abiliti l’API di rete tramite l’impostazione core.https_address. Negli ambienti MicroCloud, Canonical ha individuato un rischio aggiuntivo: un aggressore in grado di acquisire il certificato pubblico di un membro mentre quest’ultimo entra nel cluster potrebbe successivamente autenticarsi come quel membro.
Le versioni di LXD interessate elencate nel record CVE includono 4.0.14, 5.0.10, 5.21.8 e 6.9. Canonical ha rilasciato correzioni tramite i seguenti canali snap: LXD 6.10.1 in 6/stable, 5.21.9 in 5.21/stable, 5.0.11 in 5.0/stable e 4.0.15 in 4.0/stable. Le versioni corrette di MicroCloud sono 3.4.1 in 3/stable e 2.1.5 in 2/stable.
Il problema è stato segnalato dal progetto Incus, un fork comunitario di LXD, ed è stato confermato come presente nei prodotti Canonical. Incus ha risolto la stessa vulnerabilità nella versione 7.6.0. I pacchetti di LXD negli archivi Ubuntu risultano indicati come non interessati o non distribuiti, lasciando le versioni snap come versioni corrette rilevanti.
Attualmente non vi sono indicazioni pubbliche che la vulnerabilità sia stata sfruttata. Una valutazione di CISA datata 30 ottobre afferma che lo sfruttamento non è noto e il problema non è elencato nel catalogo delle Vulnerabilità note sfruttate di CISA. Non è stato pubblicato alcun exploit funzionante.
Gli amministratori che utilizzano installazioni snap dovrebbero eseguire l’aggiornamento con sudo snap refresh lxd e sudo snap refresh microcloud, quindi verificare le versioni installate. Canonical ha osservato che, quando è stato pubblicato il suo avviso, le versioni correttive di LXD erano ancora in fase di passaggio dal canale candidate a stable. Fino all’applicazione degli aggiornamenti, limitare l’accesso di rete all’API HTTPS può ridurre l’esposizione; Canonical e Incus hanno riferito che non esiste una soluzione alternativa basata sulla configurazione. Gli utenti di Incus dovrebbero effettuare l’aggiornamento alla versione 7.6.0.
Fonti: The Hacker News.