Plateforme
go
Composant
github.com/lxc/incus
Corrigé dans
6.23.1
6.23.0
CVE-2026-33945 est une vulnérabilité dans github.com/lxc/incus/v6 qui permet une escalade de privilèges locale et potentiellement une attaque DoS. Un attaquant peut exploiter une mauvaise gestion des identifiants systemd pour écrire en dehors du répertoire prévu et écraser des fichiers sur le système hôte. La version affectée est Incus v6. La vulnérabilité est corrigée dans la version 6.23.0.
La vulnérabilité CVE-2026-33945 dans Incus, via l'option systemd-creds sur GitHub, permet une écriture de fichiers arbitraire. Un attaquant compromettant un système avec Incus pourrait exploiter cette faille pour écrire des fichiers à n'importe quel emplacement accessible par le processus Incus, potentiellement sur le système hôte ou sur des volumes montés. Cela pourrait inclure la modification de fichiers de configuration critiques, l'insertion de portes dérobées (backdoors) ou même la compromission de données sensibles stockées sur ces volumes. Le rayon d'impact est significatif, car un accès non autorisé peut permettre à un attaquant de prendre le contrôle du système hôte, d'accéder à des données confidentielles et de compromettre d'autres services qui dépendent d'Incus. Par exemple, un attaquant pourrait modifier le fichier /etc/passwd pour obtenir un accès root, ou injecter du code malveillant dans un conteneur pour compromettre les applications hébergées. La sévérité critique (CVSS 9.9) reflète le potentiel d'exploitation à distance et l'impact significatif sur la confidentialité, l'intégrité et la disponibilité des systèmes affectés. La capacité d'écrire des fichiers arbitraires rend cette vulnérabilité particulièrement dangereuse, car elle permet une multitude d'attaques potentielles.
À ce jour, il n'y a pas de rapports publics d'exploitation de CVE-2026-33945. Cependant, la sévérité critique de la vulnérabilité et sa facilité d'exploitation potentielle indiquent qu'elle pourrait être ciblée par des attaquants. L'absence de preuves d'exploitation ne signifie pas que la vulnérabilité n'est pas dangereuse ; elle signifie simplement qu'elle n'a pas encore été exploitée publiquement. Il est donc fortement recommandé de corriger cette vulnérabilité dès que possible pour minimiser le risque d'exploitation future. Le manque de PoC publics ne diminue pas la nécessité d'une correction rapide, car des attaquants pourraient développer leurs propres exploits sans les partager publiquement. La vigilance et une réponse rapide sont essentielles pour protéger les systèmes Incus contre cette menace.
Statut de l'Exploit
EPSS
0.07% (percentile 21%)
CISA SSVC
Vecteur CVSS
La solution la plus efficace pour corriger CVE-2026-33945 est de mettre à niveau Incus vers la version 6.23.0 ou ultérieure. Cette version inclut une correction qui empêche l'écriture de fichiers arbitraire via l'option systemd-creds. Si la mise à niveau n'est pas immédiatement possible, une solution de contournement temporaire consiste à désactiver l'option systemd-creds dans la configuration d'Incus. Cependant, cela peut affecter la fonctionnalité de certains environnements et doit être évalué avec soin. Après la mise à niveau ou l'application du contournement, il est crucial de vérifier que la configuration d'Incus est correcte et que la vulnérabilité est bien corrigée. Cela peut être fait en examinant les journaux d'Incus pour détecter toute tentative d'écriture de fichiers non autorisée ou en effectuant des tests de pénétration ciblés pour confirmer que la faille est corrigée. Il est recommandé de redémarrer le service Incus après la mise à jour pour s'assurer que les nouvelles configurations sont appliquées.
Actualice Incus a la versión 6.23.0 o superior. Esta versión corrige la vulnerabilidad que permite la escritura arbitraria de archivos. La actualización se puede realizar a través del gestor de paquetes del sistema o descargando la nueva versión desde el sitio web oficial.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
CVE-2026-33945 is a critical vulnerability in Incus that allows for arbitrary file writes through its systemd-creds options.
Versions of Incus prior to 6.23.0 are affected by this vulnerability.
Upgrade Incus to version 6.23.0 or later to resolve this issue.
As of now, there are no publicly known exploits for CVE-2026-33945, but the vulnerability is considered critical.
Refer to the National Vulnerability Database (NVD) entry for CVE-2026-33945 for more details.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.
Téléverse ton fichier go.mod et nous te dirons instantanément si tu es affecté.