Incus: Beliebiges Schreiben von Dateien über Symlink im Migrations-Stream
Zusammenfassung
Incus vor 6.0.7, 6.1.0 vor 7.0.2 und 7.1.0 vor 7.5.0 erlaubt einer bösartigen Migrationsquelle, beliebige Dateien als root auf dem Host zu schreiben. Die Werkzeuge rsync und btrfs receive folgen Symlinks, die im übertragenen Volume platziert werden, zum Beispiel einem rootfs-Symlink auf /. Ein Angreifer, der Instanzen oder benutzerdefinierte Volumes in einem Projekt erstellen darf oder einen Server steuert, von dem das Ziel kopiert oder verschiebt, kann den Host vollständig kompromittieren. Versionen vor 7.3.0 können zusätzlich über einen verbleibenden rootfs-Symlink Dateien des Hosts lesen.
Betroffen
- Incus vor 6.0.7
- Incus 6.1.0 bis vor 7.0.2
- Incus 7.1.0 bis vor 7.5.0
- Distributions-Builds können gepatchte Backports enthalten; Changelog des Pakets prüfen.
Behoben in
- Upstream: 6.0.7, 7.0.2 und 7.5.0
- Distributionspakete: die korrigierte Version der eigenen Distribution verwenden (zum Beispiel ein Backport-Paket).
Umgehung
- Unbekannt. Es wurde kein vom Hersteller dokumentierter Workaround gefunden.
- Übergangsmassnahme (nicht vom Hersteller): Nur vertrauenswürdigen Clients das Erstellen von Instanzen und benutzerdefinierten Volumes erlauben und Migration, Kopieren oder Import nur von vertrauenswürdigen Servern zulassen.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn in den geprüften Quellen. CISA KEV wurde nicht geprüft.
- Kein öffentlicher Proof of Concept für diese CVE gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Ein verwandtes Incus-Symlink-Problem (CVE-2026-48749) ist öffentlich beschrieben, die Fehlerklasse ist also bekannt.
Unsere Empfehlung
- Incus-Hosts und Versionen inventarisieren, einschliesslich Distributionspakete.
- Auf 6.0.7, 7.0.2 oder 7.5.0 aktualisieren oder auf das korrigierte Paket der eigenen Distribution wechseln.
- Bis zur Korrektur Migrations-, Kopier- und Importrechte einschränken und Remote-Quellen nur von vertrauenswürdigen Hosts akzeptieren.
- Herstelleradvisory GHSA-579w-c4rw-c8q3 und CISA KEV auf Statusänderungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-579w-c4rw-c8q3 github.com
- VulnCheck advisory CVE-2026-115377 www.vulncheck.com
- Incus 6.0.7 LTS release announcement discuss.linuxcontainers.org
- Incus fix pull request #4071 github.com
- Incus news linuxcontainers.org
- Debian backports security update BSA-139 backports.debian.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 23:56.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.