Безопасность 4 ноября 2026, 20:06 МСК

Canonical исправила критическую уязвимость в LXD и MicroCloud

Уязвимость CVE-2026-112816 позволяла выдавать себя за доверенного клиента LXD и MicroCloud без его закрытого ключа при наличии доступа к управляющему HTTPS API.

По сообщению «Хабр Новости», ошибка получила в базе CodeScoring максимальную оценку опасности — 10,0 балла по CVSS 4.0. Сервер проверял владение ключом первого сертификата в цепочке, но мог выбрать доверенную личность по другому приложенному сертификату, ключ которого клиент не подтверждал.

На проблему указали разработчики Incus, где её исправили в версии 7.6.0. Canonical рекомендует обновить LXD и MicroCloud через snap и проверить установленную версию, поскольку исправления распространяются поэтапно.

До обновления следует ограничить доступ к управляющему API доверенными узлами: по умолчанию LXD использует локальный Unix-сокет, а сетевые подключения включаются отдельно.

• Исправленные версии LXD: 6.10.1, 5.21.9, 5.0.11 и 4.0.15
• Исправленные версии MicroCloud: 3.4.1 и 2.1.5
• Для атаки нужны доступ к HTTPS API и открытый сертификат доверенного клиента