Un certificato pubblico può aprire l’intero cluster
Canonical ha corretto in LXD e MicroCloud una falla CVSS 10.0 che consente di impersonare un client fidato. Lo stesso difetto riguarda Incus, corretto nella versione 7.6.0.
Il server accettava come prova d’identità un certificato attendibile presente in qualsiasi punto della catena inviata. TLS dimostra però il possesso della chiave privata solo per il primo certificato. Chi raggiunge l’API HTTPS e ottiene il certificato pubblico di un client può quindi presentarsi con la sua identità senza possederne la chiave. I permessi ereditati possono estendersi al cluster e alle macchine virtuali; se il client è privilegiato, l’impatto può arrivare a root sull’host.
In MicroCloud, il certificato pubblico di un membro può essere catturato durante il suo ingresso nel cluster. Canonical ha rilasciato versioni correttive per LXD e MicroCloud, ma la patch non chiarisce se un’API raggiungibile o un certificato già acquisito siano stati usati.