Критична ранливост со CVSS-оцена 10.0 во LXD и MicroCloud им овозможува на напаѓачите да се претставуваат како доверливи клиенти без приватен клуч

Критична ранливост во производите LXD и MicroCloud на Canonical им овозможува на напаѓачите да се најават како доверлив клиент без да го поседуваат неговиот приватен клуч. За да го изведе нападот, напаѓачот мора да има мрежен пристап до нивниот HTTPS API и да го поседува јавниот сертификат на доверливиот клиент.

По добивањето пристап, напаѓачот може да дејствува како тој клиент, со можност за пристап до кластерот и неговите виртуелни машини. Доколку имитираниот кориснички профил има привилегирани овластувања, напаѓачот може да добие „root-пристап до хост-машината“, соопшти Canonical.

Ранливоста, заведена под ознаката CVE-2026-112816, има максимална CVSS-оцена од 10.0. Canonical веќе објави верзии со безбедносна исправка за двата производи.

Како функционира ранливоста

LXD и MicroCloud им овозможуваат на оддалечените клиенти пристап до нивните API-интерфејси преку меѓусебна TLS-автентикација (mutual TLS), механизам при кој клиентот доставува сертификат за да го докаже својот идентитет. Клиентот се смета за доверлив доколку неговиот сертификат се наоѓа во складиштето на доверливи сертификати на серверот, односно во списокот на идентитети што серверот ги прифаќа.

Ранливоста се наоѓала во начинот на кој серверот го проверувал сертификатот. Серверот го споредувал секој сертификат што го испраќал клиентот со оние во складиштето на доверливи сертификати. Меѓутоа, TLS-врската докажува дека клиентот го поседува приватниот клуч само за првиот сертификат во синџирот, познат како краен сертификат (leaf certificate). Останатите сертификати во синџирот се оние што клиентот избрал да ги приложи.

Поради тоа, напаѓачот можел да го преземе јавниот сертификат на доверлив клиент, кој не претставува тајна информација, да го додаде во синџирот зад сопствениот сертификат и на тој начин серверот да го прифати како легитимниот клиент.

Кој е опфатен

За искористување на ранливоста потребни се два услови: мрежен пристап до HTTPS API-интерфејсот и јавниот сертификат на клиент што серверот веќе го смета за доверлив.

Самостоен LXD-сервер стандардно не го изложува овој API-интерфејс на мрежата. Тој слуша само на локален приклучок (socket), освен ако администраторот не го активира мрежниот API преку поставката core.https_address.

MicroCloud, кој поврзува повеќе машини со LXD во еден кластер, има специфична слаба точка. Canonical соопшти дека напаѓач кој ќе успее да го пресретне јавниот сертификат на некој член додека тој се приклучува на кластерот, потоа може да се најави претставувајќи се како тој член.

Во записот за CVE се наведени верзиите LXD 4.0.14, 5.0.10, 5.21.8 и 6.9 како засегнати, при што секоја од нив е ранлива до објавувањето на соодветната следна верзија со безбедносна исправка.

Canonical ги наведува следните поправени Snap-верзии:

Product	Snap channel	Fixed version
LXD	6/stable	6.10.1
LXD	5.21/stable	5.21.9
LXD	5.0/stable	5.0.11
LXD	4.0/stable	4.0.15
MicroCloud	3/stable	3.4.1
MicroCloud	2/stable	2.1.5

Ранливоста не потекнува од Canonical. Ја пријавил проектот Incus, кој започнал како заеднички форк на LXD, а Canonical потврдила дека истиот пропуст влијае и на LXD. Incus ја отстранил истата ранливост во верзијата 7.6.0.

Сопствените архивски пакети на LXD во Ubuntu се означени како незасегнати или како пакети што не се испорачуваат. Тоа значи дека безбедносните исправки се достапни преку Snap-верзиите.

Засега нема јавни индикации дека ранливоста била искористена во реален напад. Во записот за CVE е вклучена и процена на американската Агенција за сајбер-безбедност и инфраструктурна безбедност (CISA), со датум од 30 октомври, според која не е познато дека ранливоста била искористена. Таа не се наоѓа ниту на листата на познати експлоатирани ранливости (Known Exploited Vulnerabilities – KEV) на CISA, а досега не е објавен ниту функционален експлоит.

Што треба да направите

Ажурирајте ги LXD и MicroCloud до верзиите во кои е отстранета ранливоста. Доколку користите Snap-инсталација, извршете ги следните команди:

sudo snap refresh lxd
sudo snap refresh microcloud

Canonical соопшти дека во моментот на објавување на безбедносното известување, поправените верзии на LXD сè уште постепено се префрлале од каналот Candidate во каналот Stable. Затоа, по ажурирањето, проверете која верзија навистина е инсталирана, наместо да претпоставувате дека безбедносната исправка веќе е достапна.

Безбедносното известување на Canonical не наведува привремено решение за LXD. Бидејќи нападот бара мрежен пристап до API-интерфејсот, ограничувањето на уредите и корисниците што можат да пристапат до него го намалува ризикот сè додека не се инсталира ажурирањето.

Проектот Incus, кој ја пријавил истата ранливост, соопшти дека не постои решение преку промена на конфигурацијата и дека единствената привремена мерка е ограничување на мрежниот пристап до интерфејсот што ги прифаќа врските.

Корисниците на Incus треба да преминат на верзијата 7.6.0, во која е отстранета оваа ранливост, заедно со уште 17 други безбедносни пропусти.

Извори:

• The Hacker News – CVSS 10.0 LXD, MicroCloud Flaw Lets Attackers Impersonate Trusted Clients Without a Private Key The Hacker News