Критическая уязвимость в LXD и MicroCloud позволяет обойти TLS и захватить виртуальные машины

Уязвимости присвоили идентификатор CVE-2026-112816 и наивысший балл опасности — 10 по шкале CVSS 4.0. Проблему обнаружили разработчики Incus, независимого форка LXD, и уже устранили её в версии Incus 7.6.0.

LXD — это инструмент для управления контейнерами и виртуальными машинами в Linux, а MicroCloud предназначен для объединения серверов в кластер. Причина ошибки — некорректная обработка цепочки TLS-сертификатов. При проверке сервер сопоставлял с доверенным списком каждый сертификат из цепочки, однако криптографическое подтверждение владения закрытым ключом выполнялось только для первого из них.

Для атаки требуются возможность обращаться к HTTPS API по сети и открытый сертификат легитимного клиента. Злоумышленник добавляет этот публичный сертификат после своего, и сервер считает его доверенным, не требуя закрытого ключа. После успешной аутентификации злоумышленник действует от имени чужой учётной записи, что открывает доступ к управляемым виртуальным машинам, а при высоких привилегиях — полный контроль над хостом с правами root.

Риски для кластеров MicroCloud и российских систем

Для MicroCloud опасность выше: при подключении нового участника к кластеру можно перехватить открытый сертификат сервера, а затем использовать его для имитации доверенного узла. Обычный LXD по умолчанию слушает только локальный Unix-сокет, но удалённая атака возможна, если включён параметр core.https_address. Российские компании часто используют LXD для изоляции сервисов и MicroCloud для отказоустойчивых кластеров — такая уязвимость может привести к компрометации виртуальных машин и остановке бизнес-процессов. Стоит проверить, не открыт ли API наружу и не используются ли затронутые версии.

Как защититься: обновления и ограничение доступа

Canonical выпустила исправления 29 октября: для LXD — версии 4.0.15, 5.0.11, 5.21.9 и 6.10.1, для MicroCloud — 2.1.5 и 3.4.1. Обновить пакеты можно командами sudo snap refresh lxd и sudo snap refresh microcloud, после чего проверить установленную версию. До установки патчей рекомендуется ограничить сетевой доступ к API. На 2 ноября публичных подтверждений эксплуатации уязвимости нет, но тянуть с обновлением не стоит.