Plateforme
go
Composant
github.com/lxc/incus
Corrigé dans
6.23.1
6.23.0
CVE-2026-33898 est une vulnérabilité d'authentification affectant Incus. Plus précisément, le serveur web incus webui valide incorrectement le jeton d'authentification, acceptant ainsi des valeurs invalides. Cette faille peut permettre à un attaquant d'accéder à des ressources protégées. Les versions d'Incus inférieures à 6.23.0 sont concernées. La version 6.23.0 corrige cette vulnérabilité.
La vulnérabilité CVE-2026-33898 dans le serveur web de l'interface utilisateur (UI) d'Incus permet un contournement de l'authentification. Un attaquant local, ayant accès au réseau où s'exécute le serveur web d'Incus, pourrait exploiter cette faille pour accéder à l'interface d'administration sans nécessiter d'identifiants valides. Cela permettrait de manipuler les configurations d'Incus, de créer, modifier ou supprimer des conteneurs, des volumes et des réseaux gérés par Incus. Le rayon d'impact est limité à l'environnement réseau où le serveur web d'Incus est accessible. L'accès non autorisé à l'interface d'administration pourrait également permettre à un attaquant d'exécuter des commandes arbitraires sur le nœud hôte, en fonction des permissions accordées à l'utilisateur Incus. Les données sensibles stockées dans les images de conteneurs, les volumes persistants et les métadonnées d'Incus seraient potentiellement compromises. L'impact est significatif car il permet un contrôle substantiel sur l'environnement de conteneurisation géré par Incus, conduisant à une perte de confidentialité, d'intégrité et de disponibilité des applications et des données hébergées.
À ce jour, il n'y a pas de rapports publics d'exploitation de la vulnérabilité CVE-2026-33898. Bien que l'absence de preuves d'exploitation actuelles ne diminue pas la gravité de la vulnérabilité, elle indique un risque plus faible à court terme. Cependant, la nature de la faille – un contournement d'authentification – la rend potentiellement attrayante pour les attaquants, et il est possible que des exploits soient développés à l'avenir. La publication de la vulnérabilité et la disponibilité d'une correction suggèrent que les équipes de sécurité devraient accorder la priorité à la mise à jour d'Incus pour atténuer ce risque. Le manque de preuve d'exploitation ne doit pas être interprété comme une absence de risque.
Organizations deploying Incus for container storage orchestration are at risk. This includes Kubernetes environments utilizing Incus for persistent volumes and storage management. Specifically, environments with exposed Incus UI endpoints without proper network segmentation or access controls are particularly vulnerable.
• linux / server:
journalctl -u incus -g 'authentication bypass'• generic web:
curl -I http://<incus_ip>/ui/ | grep 'WWW-Authenticate'• generic web:
curl -I http://<incus_ip>/ui/ | grep 'Authorization: Basic'disclosure
Statut de l'Exploit
EPSS
0.07% (percentile 22%)
CISA SSVC
Vecteur CVSS
La correction pour CVE-2026-33898 est disponible dans la version 6.23.0 d'Incus. Il est fortement recommandé de mettre à niveau Incus vers cette version dès que possible. Si la mise à niveau n'est pas immédiatement possible, il n'existe pas de contournement direct pour cette vulnérabilité. Une solution temporaire pourrait consister à restreindre l'accès au serveur web d'Incus uniquement aux adresses IP autorisées, en utilisant un pare-feu ou des règles de sécurité réseau. Cependant, cette mesure ne constitue pas une solution complète et ne remplace pas la nécessité de mettre à jour Incus. Après la mise à niveau vers la version 6.23.0, vérifiez que l'authentification fonctionne correctement en essayant de vous connecter à l'interface utilisateur avec des identifiants valides et en vous assurant que l'accès non autorisé est bloqué. Il est également conseillé de revoir les politiques d'accès et les permissions des utilisateurs Incus pour minimiser l'impact potentiel d'une exploitation réussie.
Actualice Incus a la versión 6.23.0 o superior. Esta versión corrige la vulnerabilidad de omisión de autenticación en la interfaz web local.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
CVE-2026-33898 is a HIGH severity authentication bypass vulnerability in Incus versions prior to 6.23.0, allowing attackers to access the UI without credentials.
If you are running Incus versions earlier than 6.23.0, you are potentially affected by this vulnerability. Check your current version and upgrade immediately.
Upgrade Incus to version 6.23.0 or later to resolve this authentication bypass vulnerability. Follow the official Incus upgrade instructions.
While no active exploitation has been confirmed, the ease of exploitation makes it a potential target. Proactive patching is highly recommended.
Refer to the official Incus project website and GitHub repository for security advisories and updates related to CVE-2026-33898.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.
Téléverse ton fichier go.mod et nous te dirons instantanément si tu es affecté.