LXD et MicroCloud : CVSS 10, sans clé privée

Ce qui se passe

Canonical a corrigé CVE-2026-112816, notée CVSS 10.0, dans LXD et MicroCloud. Un attaquant qui joint l'API HTTPS et détient le certificat public d'un client de confiance peut agir à sa place, sans sa clé privée. Il obtient alors l'accès au cluster et à ses machines virtuelles ; si le compte imité est privilégié, Canonical parle d'un accès root à l'hôte.

Le mécanisme

Ces API s'authentifient en TLS mutuel. La poignée de main prouve la possession d'une seule clé, celle du certificat de tête ; ce qui suit dans la chaîne est libre. Le serveur, lui, cherchait n'importe quel certificat reçu dans son magasin de confiance.

Qui est exposé

LXD autonome : seulement si core.https_address a activé l'API réseau. Par défaut, il n'écoute que sur un socket local.
MicroCloud : capter le certificat public d'un membre pendant qu'il rejoint le cluster permet de se faire passer pour lui.
Paquets de l'archive Ubuntu : indiqués comme non touchés ou non livrés. Les correctifs concernent les snaps.
Incus : le projet, à l'origine du signalement (GHSA-xg75-xf37-cph9), a corrigé en 7.6.0, avec 17 autres problèmes de sécurité.

Produit	Canal snap	Version corrigée
LXD	`6/stable`	6.10.1
LXD	`5.21/stable`	5.21.9
LXD	`5.0/stable`	5.0.11
LXD	`4.0/stable`	4.0.15
MicroCloud	`3/stable`	3.4.1
MicroCloud	`2/stable`	2.1.5

La fiche CVE cite LXD 4.0.14, 5.0.10, 5.21.8 et 6.9 comme touchées, jusqu'à la version corrigée qui suit.

Comment s'y prendre

Terminal

sudo snap refresh lxd
sudo snap refresh microcloud
snap list lxd microcloud

La dernière commande compte : à la parution de l'avis, les versions corrigées de LXD passaient encore du canal candidat au canal stable. Un refresh peut donc ne rien changer.

Canonical ne propose aucun contournement pour LXD, et Incus précise qu'aucun réglage ne corrige le problème. Reste à limiter qui peut joindre l'API en attendant la mise à jour.

À retenir

Au 30 octobre, la CISA ne connaissait aucune exploitation et aucun exploit fonctionnel n'était publié : il reste une avance à prendre. Sachant qu'un certificat public n'a rien de secret, ne comptez pas sur sa discrétion.

Source : The Hacker News, qui renvoie à l'avis de Canonical. Source en anglais.