Canonical устранила критическую уязвимость в LXD и MicroCloud

28 октября компания Canonical сообщила об исправлении критической уязвимости CVE-2026-112816, затрагивающей менеджер контейнеров и виртуальных машин LXD, а также платформу частного облака MicroCloud. В базе знаний CodeScoring проблема получила максимальный рейтинг опасности — 10,0 баллов по шкале CVSS 4.0. Уязвимость позволяет злоумышленнику выдать себя за доверенного клиента без необходимости обладать его закрытым ключом.

• Исправлена критическая уязвимость CVE-2026-112816 с оценкой 10.0 по CVSS 4.0 в продуктах Canonical LXD и MicroCloud.
• Ошибка заключается в некорректной проверке клиентской цепочки сертификатов во время установки TLS-соединения.
• Для проведения атаки требуется сетевой доступ к управляющему HTTPS API и открытый сертификат доверенного клиента.
• Пользователям рекомендуется немедленно обновить snap-пакеты и ограничить доступ к интерфейсам управления.

Суть уязвимости и особенности атаки

Ошибка возникла в алгоритме проверки клиентской цепочки сертификатов. Во время TLS-соединения клиент должен доказывать владение закрытым ключом только для самого первого сертификата в цепочке, однако сервер ошибочно сравнивал с хранилищем доверенных клиентов абсолютно все присланные сертификаты. Атакующий мог предъявить собственный сертификат первым, успешно пройдя проверку своего ключа, а вторым прикрепить открытый сертификат доверенного клиента и таким образом получить чужие права доступа.

В рамках платформы MicroCloud был отдельно зафиксирован сценарий, при котором злоумышленник может перехватить открытый сертификат узла в момент его присоединения к кластеру, после чего успешно выдать себя за этот узел. Источником обнаружения проблемы стали разработчики проекта Incus — открытого форка LXD, которые первыми указали на ошибку. В самом Incus аналогичная уязвимость присутствовала с момента самого первого релиза и была устранена в версии 7.6.0.

Как защитить инфраструктуру и обновиться

Для оценки реального риска в собственной инфраструктуре администраторам необходимо в первую очередь проверить, доступен ли управляющий интерфейс из недоверенной сети. По умолчанию менеджер LXD работает через локальный Unix-сокет и не принимает сетевые запросы извне, однако сетевой доступ активируется с помощью параметра core.https_address. Если этот параметр включен, интерфейс потенциально уязвим при отсутствии сетевых ограничений.

Компания Canonical выпустила исправленные snap-сборки 29 октября. Обновления доступны для LXD (версии 6.10.1, 5.21.9, 5.0.11 и 4.0.15) и для MicroCloud (версии 3.4.1 и 2.1.5). Пользователям рекомендуется выполнить команды sudo snap refresh lxd и sudo snap refresh microcloud. Из-за поэтапной раскатки обновлений после завершения процесса обязательно следует сверить установленную версию со списком для своего канала.

Что это значит для бизнеса и разработчиков

Появление уязвимости критического уровня в базовых инфраструктурных компонентах подчеркивает важность регулярного аудита и контроля сетевого доступа к управляющим API. Поскольку разработчики Incus отмечают отсутствие временных настроек для устранения ошибки без обновления, приоритет установки патча зависит от того, насколько широкой аудитории доступен порт HTTPS API.

Администраторам систем виртуализации и частных облаков необходимо срочно инвентаризировать все задействованные компоненты, включая LXD, MicroCloud и Incus, и закрыть прямой сетевой доступ к управляющим интерфейсам из недоверенных сегментов сети. Своевременное обновление ПО позволяет минимизировать риски компрометации кластеров и несанкционированного доступа к базам данных.

В условиях растущих угроз безопасности ИТ-специалистам в регионе и во всем мире следует внимательнее относиться к настройкам сетевых интерфейсов виртуализации. Изоляция управляющих API от внешнего интернета остается ключевым правилом промышленной безопасности облачных платформ.