28 октября Canonical сообщила об исправлении уязвимости CVE-2026-112816 в менеджере контейнеров и виртуальных машин LXD и платформе частного облака MicroCloud. В базе знаний CodeScoring ей присвоен критический уровень опасности — 10,0 балла по CVSS 4.0. Ошибка позволяла выдать себя за доверенного клиента без его закрытого ключа, для атаки требовался доступ к управляющему HTTPS API и открытый сертификат этого клиента.
Причина в проверке клиентской цепочки сертификатов: во время TLS-соединения клиент подтверждает владение закрытым ключом только для первого сертификата, а сервер сверял с хранилищем доверенных клиентов все присланные. Атакующий мог поставить свой сертификат первым, добавить открытый сертификат доверенного клиента и получить чужие права. В MicroCloud описан отдельный сценарий: перехват открытого сертификата узла при присоединении к кластеру и выдача себя за этот узел.
На проблему указали разработчики Incus — открытого форка LXD. Исправление Incus вышло в версии 7.6.0, более ранние версии отмечены как уязвимые. По данным CodeScoring, в Incus ошибка присутствовала с первого релиза и позволяла продлевать или удалять чужие записи в хранилище доверенных сертификатов.
Исправленные snap-сборки датированы 29 октября: для LXD это версии 6.10.1, 5.21.9, 5.0.11 и 4.0.15, для MicroCloud — 3.4.1 и 2.1.5. Canonical рекомендует выполнить команды sudo snap refresh lxd и sudo snap refresh microcloud, а из-за поэтапной раскатки после обновления сверить полученную версию со списком для своего канала.
До установки исправления стоит ограничить подключения к управляющему интерфейсу доверенными узлами: настройки, устраняющей ошибку без обновления, нет. По умолчанию LXD работает через локальный Unix-сокет и не принимает сетевые подключения — сетевой доступ включается параметром core.https_address, поэтому при оценке риска важно проверить, доступен ли интерфейс из недоверенной сети, и учесть LXD, MicroCloud и Incus в перечне инфраструктурного ПО.