CVE-2026-112816
Publiée le 2026-10-30 · Dernière modification le 2026-10-31
Les versions 4.0.14, 5.0.10, 5.21.8 et 6.9 de Canonical LXD (ainsi que les versions antérieures de ces branches) sont concernées. LXD est un gestionnaire de conteneurs système et de machines virtuelles utilisé pour exécuter des environnements isolés sur des serveurs Linux. La faille se situe dans l'écouteur HTTPS, où le logiciel ne valide pas correctement les chaînes de certificats.
Un attaquant peut utiliser un certificat spécialement conçu pour usurper l'identité de n'importe quel client approuvé, lui octroyant ainsi un accès administratif complet à l'ensemble du cluster et à toutes les machines virtuelles gérées. Cela entraîne une perte totale de confidentialité, d'intégrité et de disponibilité. L'exploitation est facile à exécuter via le réseau et ne nécessite ni authentification ni interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Improper certificate validation in the HTTPS listener in Canonical LXD 4.0.14, 5.0.10, 5.21.8, 6.9 before 4.0.15, 5.0.11, 5.21.9, 6.10.1 allows an unauthenticated attacker to authenticate as any trusted client and gain full access to the cluster and managed virtual machines via a crafted certificate chain.