CVE-2026-62867
Publiée le 2026-08-21 · Dernière modification le 2026-10-15
Les gestionnaires de conteneurs système et de machines virtuelles Incus antérieurs à la version 7.3.0 sont concernés. Un utilisateur disposant d'un accès projet de bas niveau peut injecter des arguments malveillants dans les commandes de configuration du stockage pour exécuter du code arbitraire en tant qu'administrateur (root), prenant ainsi le contrôle total du système hôte. Cette attaque peut être réalisée à distance via le réseau, sans aucune interaction supplémentaire de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Incus is a system container and virtual machine manager. Prior to version 7.3.0, improper validation of user-provided `block.create_options` in storage volume configuration leads to argument injection in the constructed filesystem creation command line. This allows a project-scoped user to inject arbitrary arguments into the binary executed as root. Version 7.3.0 patches the issue.