Swati Khandelwal 1 Kasım 2026 Güvenlik Açığı / Bulut Güvenliği
Canonical'ın LXD ve MicroCloud'unda kritik bir açık bulunuyor. Saldırgan istemcinin özel anahtarına sahip olmadan güvenilen istemci olarak oturum açabiliyor. Bunun için saldırganın HTTPS API'sine ağ üzerinden erişmesi ve güvenilen istemcinin genel sertifikasına sahip olması yeterli.
İçeri girdikten sonra saldırgan küme ve sanal makinelerine erişimle o istemci gibi davranıyor. Taklit edilen hesap ayrıcalıklıysa saldırgan ana makineye "root erişimi" elde edebiliyor, Canonical belirtti.
Açık CVE-2026-112816 olarak izleniyor ve maksimum CVSS 10.0 puanı taşıyor. Canonical her iki ürünün de düzeltilmiş sürümlerini yayınladı.
Açığın Çalışma Şekli
LXD ve MicroCloud uzak istemcilerin API'lerine karşılıklı TLS üzerinden erişmesine izin veriyor. Bu kurulumda istemci kim olduğunu kanıtlamak için bir sertifika sunar. Bir istemci sertifikası sunucunun güven deposunda olduğunda güvenilir kabul edilir; bu liste sunucunun kabul edeceği kimliklerdir.
Açık sunucunun sertifikayı nasıl kontrol ettiğindeydi. Sunucu istemcinin gönderdiği her sertifikayı güven deposuyla karşılaştırıyordu. Bir TLS bağlantısı yalnızca istemcinin zincirdeki ilk sertifika olan yaprağın özel anahtarına sahip olduğunu kanıtlar. Zincirin geri kalanı istemcinin eklemeyi seçtiği şeydir.
Böylece saldırgan gizli olmayan güvenilen bir istemcinin genel sertifikasını alıp kendi sertifikasının arkasındaki zincire ekleyebiliyor ve sunucu onu o istemci olarak kabul ediyor.
Kimler Etkileniyor
Açığı kullanmak için iki şey gerekiyor: HTTPS API'ye ağ erişimi ve sunucunun zaten güvendiği bir istemcinin genel sertifikası.
Bağımsız bir LXD sunucusu varsayılan olarak bu API'yi açmaz. Yalnızca yerel bir sokette dinler; yönetici core.https_address ayarı ile ağ API'sini açmadıkça erişim mümkün değil.
LXD çalıştıran birkaç makineyi tek bir kümeye bağlayan MicroCloud'un belirli bir zayıf noktası var. Canonical, bir üyenin kümeye katılırken genel sertifikasını yakalayabilen bir saldırganın ardından o üye olarak oturum açabileceğini söyledi.
CVE kaydı LXD 4.0.14, 5.0.10, 5.21.8 ve 6.9'un etkilendiğini listeler, her biri sonraki düzeltilmiş sürümden önce. Canonical bu düzeltilmiş snap sürümlerini listeler.
Hata Canonical'da başlamadı. Topluluk tarafından LXD'nin çatallanmasıyla başlayan Incus projesi bunu bildirdi ve Canonical bunun LXD'yi de etkilediğini doğruladı. Incus aynı açığı 7.6.0 sürümünde düzeltti.
Ubuntu'nun kendi LXD arşiv paketleri etkilenmemiş veya gönderilmemiş olarak listeleniyor, bu yüzden düzeltilmiş sürümler snap'ler.
Açığın saldırıda kullanıldığına dair kamuya açık bir işaret yok. CVE kaydında 30 Ekim tarihli ABD CISA değerlendirmesi bulunuyor; açığın istismar edildiği bilinmiyor. Açık CISA'nın Bilinen İstismar Edilen Açıklar listesinde değil ve çalışan bir istismar yayınlanmadı.
Ne Yapılmalı
LXD ve MicroCloud'u düzeltilmiş sürümlere güncelleyin. Snap kurulumunda sudo snap refresh lxd ve sudo snap refresh microcloud komutlarını çalıştırın.
Canonical, düzeltilmiş LXD nokta sürümlerinin danışmanlığının yapıldığı sırada aday kanaldan kararlıya dağıtılmaya devam ettiğini söyledi. Bu nedenle yenileme sonrası aslında sahip olduğunuz sürümü kontrol edin, düzeltmenin geldiğini varsaymayın.
Canonical'ın danışmanlığı LXD için geçici bir çözüm sunmuyor. Saldırı API'ye ağ erişimi gerektirdiği için güncelleme yapana kadar kimlerin erişebileceğini sınırlamak riski azaltır. Aynı açığı bildiren Incus projesi yapılandırma düzeltmesinin olmadığını ve tek adımın dinleyiciye ağ erişimini kısıtlamak olduğunu kaydetti.
Incus kullanıcıları bu açığın yanı sıra 17 diğer güvenlik sorununu da düzelten 7.6.0 sürümüne geçmeli.
