CVE-2026-112816
EPSS 0.3% (23º percentile).
Vulnerabilità · 3 ore fa
Canonical ha corretto in LXD e MicroCloud una falla CVSS 10.0 che consente di impersonare un client fidato. Lo stesso difetto riguarda Incus, corretto nella versione 7.6.0.
Il server accettava come prova d’identità un certificato attendibile presente in qualsiasi punto della catena inviata. TLS dimostra però il possesso della chiave privata solo per il primo certificato. Chi raggiunge l’API HTTPS e ottiene il certificato pubblico di un client può quindi presentarsi con la sua identità senza possederne la chiave. I permessi ereditati possono estendersi al cluster e alle macchine virtuali; se il client è privilegiato, l’impatto può arrivare a root sull’host.
In MicroCloud, il certificato pubblico di un membro può essere catturato durante il suo ingresso nel cluster. Canonical ha rilasciato versioni correttive per LXD e MicroCloud, ma la patch non chiarisce se un’API raggiungibile o un certificato già acquisito siano stati usati.
EPSS 0.3% (23º percentile).
1 fonte che coprono questa storia
CVSS 10.0 LXD, MicroCloud Flaw Lets Attackers Impersonate Trusted Clients Without a Private Key
Canonical patches CVE-2026-112816 in LXD and MicroCloud, a CVSS 10.0 flaw enabling trusted client impersonation without private keys.
Part of the PlainSec briefing for 2026-11-01