LXD und MicroCloud lassen vertrauenswürdige Clients ohne privaten Schlüssel imitieren
Canonical hat eine kritische Schwachstelle in LXD und MicroCloud behoben, durch die Angreifer sich als vertrauenswürdiger Client anmelden können, ohne dessen privaten Schlüssel zu besitzen. Die Lücke trägt die Kennung CVE-2026-112816 und erreicht laut Canonical den maximalen CVSS-Wert von 10.0.
Für einen Angriff müssen Täter laut Canonical die HTTPS-API über das Netzwerk erreichen und das öffentliche Zertifikat eines bereits vertrauenswürdigen Clients besitzen. Sie können danach mit dessen Identität auf den Cluster und seine virtuellen Maschinen zugreifen. Ist das imitierte Konto privilegiert, kann daraus Root-Zugriff auf den Host entstehen.
Die Ursache liegt in der Prüfung der Zertifikatskette bei der gegenseitigen TLS-Authentifizierung. Der Server akzeptierte ein Zertifikat aus der Vertrauensliste, obwohl die TLS-Verbindung nur den Besitz des privaten Schlüssels zum ersten Zertifikat der Kette nachweist. Ein Angreifer konnte deshalb ein öffentliches Zertifikat eines vertrauenswürdigen Clients hinter sein eigenes Zertifikat setzen.
Bei einem eigenständigen LXD-Server ist die betroffene API laut Canonical standardmäßig nicht über das Netzwerk erreichbar. Sie lauscht zunächst nur an einem lokalen Socket und wird erst mit der Einstellung core.https_address für Netzwerkzugriffe aktiviert. Bei MicroCloud kann ein Angreifer laut Canonical ein Mitgliedszertifikat abfangen, während ein Rechner dem Cluster beitritt, und sich danach als dieses Mitglied anmelden.
Betroffen sind laut CVE-Eintrag LXD 4.0.14, 5.0.10, 5.21.8 und 6.9 jeweils vor der folgenden korrigierten Version. Canonical hat korrigierte Versionen für LXD und MicroCloud veröffentlicht. Bei einer Snap-Installation empfiehlt Canonical sudo snap refresh lxd und sudo snap refresh microcloud; danach sollten Administratoren die tatsächlich installierte Version prüfen, weil die korrigierten LXD-Versionen zum Zeitpunkt des Advisories noch aus dem Candidate- in den Stable-Kanal wechselten.
Für LXD nennt Canonical keine vorübergehende Konfigurationslösung. Bis zur Aktualisierung lässt sich das Risiko nach Angaben des Incus-Projekts, das denselben Fehler meldete und in Version 7.6.0 behob, durch die Einschränkung des Netzwerkzugriffs auf den Listener verringern. Für die Lücke gibt es laut CVE-Bewertung vom 30. Oktober keinen bekannten Exploit, und sie steht nicht auf CISA's Known Exploited Vulnerabilities List.