Incus: Umgehung von Projekteinschränkungen führt zu Argument Injection in mkfs
Zusammenfassung
Incus, ein Manager für System-Container und virtuelle Maschinen, erlaubt Benutzern eingeschränkter Projekte, die Einschränkung block.create_options über Volume-Update-, Kopier- und Verschiebeoperationen zu umgehen. Ein Angreifer mit niedrigen Rechten, der benutzerdefinierte Volumes erstellen oder bearbeiten kann, kann beim Kopieren oder Verschieben auf einen Pool, der beim Kopieren formatiert, Argumente in den mkfs-Befehl einschleusen, der als root ausgeführt wird. Der Angriff setzt ein Konto in einem eingeschränkten Projekt voraus und ist vor allem für gemeinsam genutzte oder mandantenfähige Incus-Hosts relevant.
Betroffen
- Incus 7.3.0 bis, aber nicht einschliesslich, 7.5.0
- Unbestätigt: 7.0.x-LTS-Versionen werden in einigen Drittquellen erwähnt; Bestätigung durch den Hersteller steht aus
Behoben in
- Incus 7.5.0 oder neuer
- Unbestätigt für 7.0.x LTS: Vor einer Entwarnung beim Hersteller oder Distributor nachfragen
Umgehung
- Benutzerdefinierte Volume-Erstellung für eingeschränkte Projekte auf Pools, die beim Kopieren formatieren, nicht erlauben
- volume.block.create_options auf dem Pool setzen, sodass der Pool-Standardwert greift
Ausnutzung
- Keine Hinweise auf aktive Ausnutzung gefunden; in den geprüften Quellen nicht als bekanntermassen ausgenutzt gelistet
- Kein öffentlicher Proof of Concept gefunden; dies schliesst einen solchen nicht aus
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total
Unsere Empfehlung
- Alle Incus-Installationen inventarisieren, auch solche, die von Drittanbietern oder in verwalteten Diensten betrieben werden
- Betroffene Installationen auf Incus 7.5.0 oder neuer aktualisieren
- Bis zum Patch die Rechte für benutzerdefinierte Volumes in eingeschränkten Projekten begrenzen und die Pool-Standardwerte für block.create_options prüfen
- Konten mit eingeschränkten Projekten und den Zugriff auf die Incus-API überprüfen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-4cph-ccqv-hm3c github.com
- VulnCheck Advisory CVE-2026-115372 www.vulncheck.com
- Incus upstream fix pull request 4071 github.com
- Ubuntu security CVE-2026-115372 ubuntu.com
- Debian security bulletin BSA-139 backports.debian.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 08:04.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.