Incus: Path Traversal über abhängige Volumes von Instanz-Backups
Zusammenfassung
Incus validiert die Namen abhängiger benutzerdefinierter Volumes nicht, die in der Datei index.yaml eines Instanz-Backups aufgeführt sind. Ein manipuliertes Backup mit ../-Sequenzen in diesen Namen kann dazu führen, dass der Daemon root-eigene Verzeichnisse mit vom Angreifer kontrolliertem Inhalt an beliebigen Pfaden auf dem Host erstellt. Jeder Client, der Instanzen erstellen (oder Instanz-Backups importieren) darf, kann dies ausnutzen, was zur vollständigen Kompromittierung des Hosts führen kann. Der CVSS-4.0-Basiswert beträgt 9.4 (kritisch).
Betroffen
- Incus 7.0.0 vor 7.0.2
- Incus 7.1.0 vor 7.5.0
Behoben in
- Incus 7.0.2 (7.0-LTS-Linie)
- Incus 7.5.0 (7.x-Linie); die neueste Version wird empfohlen
Umgehung
- Nur vertrauenswürdigen Clients das Erstellen von Instanzen erlauben, wie im Sicherheitshinweis des Herstellers angegeben.
Ausnutzung
- Kein öffentlicher Proof of Concept gefunden.
- Keine Hinweise gefunden, dass die Schwachstelle aktiv ausgenutzt wird (KEV-Status).
- Die Ausnutzung erfordert eine authentifizierte Client-Identität, die Instanzen erstellen darf (PR:L).
Unsere Empfehlung
- Alle Incus-Hosts und deren Versionen inventarisieren.
- Auf Incus 7.0.2 (7.0 LTS) oder 7.5.0 oder neuer aktualisieren (neueste Version bevorzugt).
- Festlegen, welche Benutzer und Projekte Instanzen erstellen oder Instanz-Backups importieren dürfen, und diese Rechte einschränken.
- Instanz-Backups nur aus vertrauenswürdigen Quellen importieren.
- Prüfen, ob die Incus-API aus nicht vertrauenswürdigen Netzwerken erreichbar ist, und den Zugriff einschränken.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-hpjh-q53p-f27r github.com
- VulnCheck advisory www.vulncheck.com
- Incus news (Linux Containers) linuxcontainers.org
- Ubuntu CVE tracker ubuntu.com
- Debian BSA-139 security update for Incus backports.debian.org
- Flatcar security triage issue 505 github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 23:56.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.