Canonical выпустила исправления для CVE-2026-112816 — критической уязвимости в продуктах LXD и MicroCloud, позволяющей злоумышленнику пройти аутентификацию как любой доверенный TLS-клиент и получить полный доступ к кластеру и управляемым виртуальным машинам. Для эксплуатации достаточно сетевого доступа к HTTPS API и публичного сертификата доверенного клиента — приватный ключ не требуется. Если скомпрометированная учётная запись обладает привилегиями, атакующий может получить root-доступ к хост-машине. Администраторам LXD и MicroCloud необходимо немедленно обновить snap-пакеты до исправленных версий.
Механизм уязвимости
LXD и MicroCloud используют mutual TLS для аутентификации удалённых клиентов: клиент предъявляет сертификат, а сервер проверяет его наличие в хранилище доверенных идентичностей (trust store). Проблема заключалась в том, как именно сервер выполнял эту проверку.
Согласно бюллетеню безопасности Canonical, логика аутентификации сравнивала все сертификаты, переданные клиентом в цепочке, с записями в trust store. Однако TLS-рукопожатие подтверждает владение приватным ключом только для первого сертификата в цепочке — листового (leaf). Остальные сертификаты в цепочке полностью контролируются клиентом.
Это означает, что злоумышленник мог сформировать цепочку сертификатов, поместив собственный листовой сертификат первым, а публичный сертификат доверенного клиента — в качестве промежуточного. Сервер находил доверенный сертификат в цепочке и принимал соединение от имени этого клиента, хотя атакующий не владел его приватным ключом.
Затронутые версии и исправления
Согласно странице CVE на Ubuntu, уязвимости подвержены следующие версии LXD:
- LXD 4.0.14 (исправлено в 4.0.15)
- LXD 5.0.10 (исправлено в 5.0.11)
- LXD 5.21.8 (исправлено в 5.21.9)
- LXD 6.9 (исправлено в 6.10.1)
Для MicroCloud Canonical выпустила исправленные версии 2.1.5 и 3.4.1. Все исправления датированы 29 октября 2026 года и распространяются через snap-каналы.
Уязвимость была обнаружена не самой Canonical. Проект Incus — форк LXD, развиваемый сообществом, — первым сообщил о проблеме, после чего Canonical подтвердила, что та же ошибка затрагивает LXD. Incus исправил уязвимость в версии 7.6.0 — это отдельный продукт, и его версия не заменяет обновления LXD или MicroCloud.
Уточнение по оценке критичности
В ряде публикаций уязвимости приписывается оценка CVSS 10.0. Однако бюллетень Canonical для LXD и MicroCloud обозначает проблему как критическую, не указывая числовой балл. Оценка 10.0 явно присутствует в бюллетене безопасности Incus для той же уязвимости в цепочке сертификатов. Поскольку речь идёт об одном и том же классе ошибки, оценка применима по существу, но формально она выставлена проектом Incus, а не Canonical.
Различия в векторах атаки: LXD и MicroCloud
Практические пути эксплуатации различаются в зависимости от продукта. Для автономного сервера LXD атака требует сетевой доступности HTTPS API, который по умолчанию не открыт — он слушает только на локальном сокете, если администратор не активировал параметр core.https_address.
MicroCloud, объединяющий несколько машин с LXD в единый кластер, создаёт дополнительный вектор: по данным Canonical, злоумышленник, способный перехватить публичный TLS-сертификат узла в момент его присоединения к кластеру, может впоследствии аутентифицироваться от имени этого узла. Это делает процедуру присоединения новых членов к кластеру особенно чувствительной точкой.
Приоритет при устранении уязвимости следует отдать инсталляциям с открытыми API-слушателями и средам, где выполняются операции по расширению кластера.
Статус эксплуатации
По имеющимся данным, признаков активной эксплуатации уязвимости не обнаружено. CVE-2026-112816 не внесена в каталог CISA Known Exploited Vulnerabilities, публичных эксплойтов не опубликовано. Однако отсутствие в каталоге KEV само по себе не является доказательством того, что эксплуатация не происходила.
Рекомендации
Для устранения уязвимости:
- Обновите snap-пакеты:
sudo snap refresh lxdиsudo snap refresh microcloud - После обновления проверьте фактическую версию — на момент публикации бюллетеня Canonical исправления для LXD находились в стадии постепенного перехода из канала
candidateвstable - Пользователям Incus необходимо обновиться до версии 7.6.0
Конфигурационного обходного решения не существует — об этом прямо заявляют и Canonical, и проект Incus. До установки обновления единственная мера снижения риска — ограничение сетевого доступа к HTTPS-слушателю доверенными хостами.
Ранее мы уже освещали критические уязвимости в экосистеме Ubuntu — например, уязвимость повышения привилегий pedit COW в ядре Linux. CVE-2026-112816 отличается тем, что атака направлена не на ядро, а на уровень оркестрации контейнеров и виртуальных машин, что при успешной эксплуатации даёт доступ сразу ко всему кластеру.
Учитывая отсутствие обходных решений и потенциальный масштаб компрометации — от доступа к виртуальным машинам до root на хосте — обновление snap-пакетов LXD и MicroCloud до исправленных версий является единственной полноценной мерой защиты, и её следует выполнить без промедления, особенно на инсталляциях с открытым сетевым API.
