Uma vulnerabilidade crítica nas plataformas LXD e MicroCloud da Canonical poderia permitir que um invasor entrasse como um cliente confiável sem possuir a chave privada desse cliente. Rastreada como CVE-2026-112816, a falha tem pontuação máxima de CVSS de 10,0.

A exploração requer acesso à rede da API HTTPS dos produtos e ao certificado público de um cliente já confiável pelo servidor. Depois de autenticado, o invasor poderia operar com as permissões do cliente personificado, incluindo acesso ao cluster e às suas máquinas virtuais. Se essa conta tivesse privilégios administrativos, a Canonical afirmou que o invasor poderia obter acesso root à máquina host.

A vulnerabilidade afetava a forma como o LXD e o MicroCloud validavam certificados durante a autenticação mútua por TLS. Embora a conexão comprove a posse da chave privada associada ao primeiro certificado da cadeia, o servidor comparava todos os certificados apresentados pelo cliente com seu armazenamento de confiança. Assim, um invasor poderia colocar o certificado publicamente disponível de um cliente confiável atrás de seu próprio certificado e ser aceito como esse cliente.

Uma instalação independente do LXD não expõe a API vulnerável por padrão. Normalmente, ela escuta em um socket local, a menos que um administrador habilite a API de rede por meio da configuração core.https_address. Em ambientes MicroCloud, a Canonical identificou um risco adicional: um invasor capaz de capturar o certificado público de um membro enquanto ele ingressa no cluster poderia posteriormente se autenticar como esse membro.

As versões afetadas do LXD listadas no registro da CVE incluem 4.0.14, 5.0.10, 5.21.8 e 6.9. A Canonical lançou correções por meio dos seguintes canais snap: LXD 6.10.1 em 6/stable, 5.21.9 em 5.21/stable, 5.0.11 em 5.0/stable e 4.0.15 em 4.0/stable. As versões corrigidas do MicroCloud são 3.4.1 em 3/stable e 2.1.5 em 2/stable.

O problema foi relatado pelo projeto Incus, um fork comunitário do LXD, e foi confirmado como afetando os produtos da Canonical. O Incus corrigiu a mesma vulnerabilidade na versão 7.6.0. Os pacotes do LXD no arquivo do Ubuntu estão listados como não afetados ou não distribuídos, deixando as versões snap como as versões corrigidas relevantes.

Atualmente, não há indicação pública de que a vulnerabilidade tenha sido explorada. Uma avaliação da CISA datada de 30 de outubro afirma que não há conhecimento de exploração, e o problema não está listado no catálogo de Vulnerabilidades Conhecidamente Exploradas da CISA. Nenhum exploit funcional foi publicado.

Os administradores que usam instalações snap devem atualizar com sudo snap refresh lxd e sudo snap refresh microcloud e, em seguida, verificar as versões instaladas. A Canonical observou que as versões pontuais corrigidas do LXD ainda estavam sendo transferidas do canal candidate para o stable quando seu comunicado foi emitido. Até que as atualizações sejam aplicadas, restringir o acesso à rede à API HTTPS pode reduzir a exposição; a Canonical e o Incus informaram que não há uma solução alternativa baseada em configuração. Os usuários do Incus devem atualizar para a versão 7.6.0.

Fontes: The Hacker News.