Incus: Autorisierungsumgehung beim Kopieren von Custom Volumes erlaubt Projektzugriff
Zusammenfassung
Incus, ein Manager für System-Container und virtuelle Maschinen, enthält eine Autorisierungsumgehung, wenn ein Custom Storage Volume mit einem Quellvolume, aber ohne source.type erstellt wird. Ein projektbeschränkter Client mit der Berechtigung, Custom Volumes zu erstellen, kann eine manipulierte POST-Anfrage mit einem gewählten source.project senden, um Volumes, Snapshots und Konfigurationen anderer Projekte zu kopieren und deren Inhalte zu lesen. Der offizielle Client setzt den Typ immer, daher setzt die Ausnutzung eine handgefertigte API-Anfrage durch einen authentifizierten Benutzer voraus.
Betroffen
- Incus 7.0.1 vor 7.0.2
- Incus 7.2.0 vor 7.5.0
- Das GitHub-Advisory listet alle Versionen unter 7.5.0; die untere Grenze ist nicht bestätigt.
- Incus 6.0 LTS: nicht eindeutig angegeben; als Vorsichtsmassnahme behandeln.
Behoben in
- Incus 7.0.2 (7.0-LTS-Linie)
- Incus 7.5.0 (7.x-Linie)
Umgehung
- Es ist kein Workaround des Herstellers dokumentiert.
- Übergangsmassnahme (eigene Einschätzung, nicht aus einer Herstellerquelle): Erstellung von Custom Storage Volumes in eingeschränkten Projekten auf wenige Personen beschränken und den Zugriff auf die Incus-API auf vertrauenswürdige Clients begrenzen, bis ein Update eingespielt ist.
Ausnutzung
- Nicht im KEV-Katalog der CISA gelistet.
- Keine Berichte über Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof-of-Concept gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung teilweise.
Unsere Empfehlung
- Incus auf 7.0.2 oder 7.5.0 aktualisieren (oder ein gepatchtes Distributionspaket einsetzen).
- Wird Incus 6.0 betrieben, als Vorsichtsmassnahme auf 6.0.7 aktualisieren.
- Prüfen, ob die Incus-API aus unsicheren Netzen oder für nicht vertrauenswürdige Benutzer erreichbar ist.
- Prüfen, welche Benutzer Custom Volumes in eingeschränkten Projekten erstellen können, und nicht benötigte Rechte entfernen.
- Teilen sich mehrere Teams oder Kunden einen Incus-Server, das Patchen priorisieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GHSA advisory GHSA-jh4v-j34r-2mgh github.com
- VulnCheck advisory www.vulncheck.com
- Ubuntu CVE page ubuntu.com
- Incus 6.0.7 release discuss.linuxcontainers.org
- Incus 7.0.2 release discuss.linuxcontainers.org
- Incus 7.5 release discuss.linuxcontainers.org
- Fix pull request #4071 github.com
- Debian BSA-139 backports.debian.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 13:22.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.