CVE-2026-112816

Improper certificate validation in the HTTPS listener in LXD

CVSS 3.1Medium

10.0/ 10.0

Опубликовано

30 октября 2026 г.

Обновлено

30 октября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН

Установить патчи безопасности Canonical LXD версий 4.0.15, 5.0.11, 5.21.9, 6.10.1 или новее. Заблокировать внешний доступ к порту HTTPS-API (8443).

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Критическая брешь валидации клиентских сертификатов в HTTPS-листере гипервизора Canonical LXD. Ошибка позволяет неаутентифицированному атакующему выдать себя за доверенного администратора.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

HTTPS-листер LXD некорректно валидирует предоставленные клиентские TLS-сертификаты и цепочки доверия (CWE-295), пропуская поддельные цепочки и авторизуя запрос с любым идентификатором.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Полный захват контроля над демоном LXD, хостовой операционной системой, всеми контейнерами и виртуальными машинами кластера с наивысшими системными привилегиями.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

Точные диапазоны версий не зафиксированы в источниках

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (6)

github.comhttps://github.com/canonical/lxd/security/advisories/GHSA-99jp-jwmc-65p4
discourse.ubuntu.comhttps://discourse.ubuntu.com/t/security-advisory-critical-vulnerability-found-in-canonical-lxd-and-microcloud/90557
discourse.ubuntu.comhttps://discourse.ubuntu.com/t/lxd-6-10-1-lts-has-been-released/90024
discourse.ubuntu.comhttps://discourse.ubuntu.com/t/lxd-5-21-9-lts-has-been-released/90565/1
discourse.ubuntu.comhttps://discourse.ubuntu.com/t/lxd-5-0-11-lts-has-been-released/90570/1
discourse.ubuntu.comhttps://discourse.ubuntu.com/t/lxd-4-0-15-lts-has-been-released/90571

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-112816: Improper certificate validation in the HTTPS listener in LXD. URL: https://cve.futuretools.ru/cve/CVE-2026-112816

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_112816,
  title = {{CVE-2026-112816: Improper certificate validation in the HTTPS listener in LXD}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-112816}},
  note = {Оперативный инженерный анализ киберугроз}
}