Canonical LXD va MicroCloud'dagi o'ta xavfli zaiflikni bartaraf etdi

28 oktyabr kuni Canonical kompaniyasi konteyner va virtual mashinalar menejeri LXD hamda xususiy bulut platformasi MicroCloud'dagi CVE-2026-112816 zaifligi bartaraf etilganini e'lon qildi. CodeScoring bazasida ushbu xavfsizlik muammosi CVSS 4.0 shkalasi bo'yicha eng yuqori — 10,0 ballik kritik darajaga ega deb baholandi. Mazkur zaiflik hujumchiga maxfiy kalitga ega bo'lmagan holda o'zini ishonchli mijoz sifatida ko'rsatish imkonini beradi.

• Canonical LXD va MicroCloud'da CVSS 4.0 bo'yicha 10.0 ballik o'ta xavfli CVE-2026-112816 zaifligi tuzatildi.
• Xatolik TLS ulanishi vaqtida mijozning sertifikatlar zanjirini noto'g'ri tekshirish tufayli yuzaga kelgan.
• Hujumni amalga oshirish uchun boshqaruvchi HTTPS API va ishonchli mijozning ochiq sertifikatiga kirish talab etiladi.
• Foydalanuvchilarga darhol snap-paketlarni yangilash va tarmoq kirishlarini cheklash tavsiya etiladi.

Zaiflikning mohiyati va hujum ssenariysi

Xatolik mijoz sertifikatlari zanjirini tekshirish jarayonida kelib chiqqan. TLS ulanish vaqtida mijoz o'zining maxfiy kalitiga egaligini faqat zanjirdagi birinchi sertifikat uchun isbotlashi kerak edi, biroq server ishonchli mijozlar omboridagi barcha yuborilgan sertifikatlarni solishtirib ko'rgan. Tajovuzkor o'zining shaxsiy sertifikatini birinchi o'ringa qo'yib, ikkinchi o'ringa ishonchli mijozning ochiq sertifikatini qo'shib yuborishi va boshqalarning huquqlarini qo'lga kiritishi mumkin edi.

MicroCloud platformasida yana bir ssenariy aniqlangan bo'lib, unda tajovuzkor klasterga qo'shilish vaqtida tugunning ochiq sertifikatini ushlab qolishi va keyinchalik o'zini o'sha tugun sifatida ko'rsatishi mumkin edi. Muammo haqida birinchi bo'lib LXD'ning ochiq forkini boshqaruvchi Incus лойиҳаси dasturchilari xabar berishgan. Incus'ning o'zida ham ushbu xatolik ilk relizdan beri mavjud bo'lib, 7.6.0 versiyasida bartaraf etilgan.

Infrastrukturani himoya qilish va yangilash

O'z infratuzilmangizdagi xavf darajasini baholash uchun birinchi navbatda boshqaruv interfeysi ishonchsiz tarmoqdan ko'rinishini tekshirish muhimdir. Odatiy holatda LXD lokal Unix-soket orqali ishlaydi va tarmoq ulanishlarini qabul qilmaydi, biroq tarmoqqa chiqish core.https_address parametri orqali yoqiladi. Agar bu parametr faol bo'lsa, tarmoq cheklovlarisiz interfeys xavf ostida qolishi mumkin.

Canonical kompaniyasi 29 oktyabr kuni tuzatilgan snap-to'plamlarni chiqardi. Yangilanishlar LXD uchun (6.10.1, 5.21.9, 5.0.11 va 4.0.15 versiyalari) hamda MicroCloud uchun (3.4.1 va 2.1.5 versiyalari) mavjud. Foydalanuvchilarga sudo snap refresh lxd va sudo snap refresh microcloud buyruqlarini bajarish tavsiya etiladi. Yangilanishlar bosqichma-bosqich tarqatilishi sababli, jarayondan so'ng o'rnatilgan versiyani o'z kanalingiz ro'yxati bilan solishtirishingiz kerak.

Biznes va dasturchilar uchun bu nimani anglatadi

Asosiy infratuzilma komponentlarida tanqidiy darajadagi zaiflikning topilishi boshqaruv API'lariga tarmoq kirishini doimiy ravishda audit qilish muhimligini ko'rsatadi. Incus dasturchilari yangilanishsiz xatolikni tuzatuvchi vaqtinchalik sozlamalar yo'qligini ta'kidlashganligi sababli, yangilash ustuvorligi HTTPS API'ga kimlar ulanishiga bog'liq bo'ladi.

Virtualizatsiya va xususiy bulutlar ma'murlari barcha ishlatilayotgan komponentlarni, jumladan LXD, MicroCloud va Incus'ni tezkor ravishda inventarizatsiyadan o'tkazishi hamda boshqaruv interfeyslariga tashqi tarmoqdan kirishni yopishi zarur. Dasturiy ta'minotni o'z vaqtida yangilash klasterlarning buzilish xavfini minimal darajaga tushiradi.

Xavfsizlik tahdidlari o'sib borayotgan bir paytda, IT mutaxassislari virtualizatsiya tarmoq interfeyslarini sozlashga jiddiyroq yondashishlari kerak. Boshqaruv API'larini tashqi internetdan izolyatsiya qilish bulutli platformalar xavfsizligining asosiy qoidalaridan biri bo'lib qolmoqda.