Canonical LXD: Unzureichende Zertifikatsprüfung erlaubt Zugriff auf den Cluster

Zusammenfassung

Eine unzureichende Zertifikatsprüfung im HTTPS-Listener von Canonical LXD erlaubt einem Angreifer, der die HTTPS-API erreichen kann, sich als beliebiger vertrauenswürdiger Client zu authentisieren. Der Angreifer benötigt dafür das öffentliche Zertifikat eines vertrauenswürdigen Clients, das nicht geheim sein muss. Ein erfolgreicher Angriff verschafft vollen Zugriff auf den LXD-Cluster und die verwalteten virtuellen Maschinen und je nach Rechten des imitierten Benutzers Root-Zugriff auf den Host. Der CVE-Eintrag gibt einen CVSS-v4.0-Wert von 10.0 (Kritisch) an.

Betroffen

• Canonical LXD 4.0.14 bis vor 4.0.15
• Canonical LXD 5.0.10 bis vor 5.0.11
• Canonical LXD 5.21.8 bis vor 5.21.9
• Canonical LXD 6.9.0 bis vor 6.10.1
• MicroCloud, das auf LXD aufbaut, ist laut Hersteller ebenfalls betroffen
• Der CVE-Eintrag markiert die Standardkonfiguration als nicht betroffen. Für den Angriff muss die HTTPS-API erreichbar sein.

Behoben in

• LXD 4.0.15
• LXD 5.0.11
• LXD 5.21.9
• LXD 6.10.1
• Die stabilen Ubuntu-Kanäle haben die korrigierten Builds am 29. Okt 2026 erhalten.

Umgehung

Unbekannt. In den Quellen ist keine Workaround-Massnahme des Herstellers dokumentiert. Eine Firewall-Beschränkung des Zugriffs auf den HTTPS-API-Port von LXD reduziert die Exposition bis zum Update; dies ist eine Empfehlung und keine Anweisung des Herstellers.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
• Zum Zeitpunkt der Erfassung wurden keine Hinweise auf eine Ausnutzung oder einen öffentlichen Exploit gefunden.
• Laut OffSeq ist die Schwachstelle nicht im CISA-KEV-Katalog aufgeführt.
• Der Eintrag ist weniger als einen Tag alt.

Unsere Empfehlung

• Alle LXD- und MicroCloud-Installationen mit ihren genauen Versionen inventarisieren.
• Unverzüglich auf die oben genannten korrigierten Versionen aktualisieren.
• Den Zugriff auf die HTTPS-API von LXD auf vertrauenswürdige Netze beschränken.
• Die vertrauenswürdigen Client-Zertifikate überprüfen und die Logs auf unerwartete Nutzung von Client-Zertifikaten kontrollieren.
• Die Herstellerhinweise auf weitere Updates überwachen.

Quellen der Recherche

• Security advisory: Critical vulnerability found in Canonical LXD and MicroCloud discourse.ubuntu.com
• GitHub Security Advisory GHSA-99jp-jwmc-65p4 github.com
• LXD 4.0.15 LTS has been released discourse.ubuntu.com
• LXD 5.0.11 LTS has been released discourse.ubuntu.com
• LXD 5.21.9 LTS has been released discourse.ubuntu.com
• LXD 6.10.1 LTS has been released discourse.ubuntu.com
• CVE-2026-112816 OffSeq Radar radar.offseq.com
• LXD security documentation canonical.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 18:21.