CVE-2026-63297
Publiée le 2026-08-12 · Dernière modification le 2026-10-24
Les utilisateurs de LXD sont concernés par une faille qui permet à un utilisateur authentifié de contourner les restrictions de projet lors de la copie d'instances entre projets. En exploitant un décalage temporel dans la manière dont les configurations sont fusionnées, un attaquant peut transférer des configurations à hauts privilèges vers des projets restreints où elles devraient être interdites. Cette opération peut être exécutée à distance via le réseau avec une faible complexité et ne nécessite que des identifiants d'utilisateur basiques.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
An authorization bypass vulnerability in LXD due to a timing flaw during configuration merging allows an authenticated attacker to bypass target project restrictions during cross-project instance copies. When copying an instance to a target project, LXD performs restriction checks before configuration merging is complete, creating a time-of-check to time-of-use (TOCTOU) condition. An attacker can exploit this flaw to copy instances with disallowed high-privilege configurations into restricted projects, bypassing security controls.