प्लेटफ़ॉर्म
go
घटक
github.com/lxc/incus/v6/cmd/incusd
में ठीक किया गया
6.1.1
6.0.6
6.20.1
CVE-2026-23954 Incus कंटेनर प्रबंधन प्रणाली में एक गंभीर भेद्यता है। यह भेद्यता एक हमलावर को कंटेनर छवियों में टेम्पलेटिंग कार्यक्षमता का दुरुपयोग करके होस्ट पर मनमाना फ़ाइल रीड और राइट करने की अनुमति देती है, जिससे अंततः होस्ट पर मनमाना कमांड निष्पादन हो सकता है। यह भेद्यता Incus के संस्करण 6.1.0 और उससे पहले के संस्करणों को प्रभावित करती है। 6.1.1 में अपग्रेड करके इस समस्या का समाधान किया गया है।
यह भेद्यता हमलावर के लिए होस्ट सिस्टम पर पूर्ण नियंत्रण प्राप्त करने का मार्ग खोलती है। एक हमलावर, जो कंटेनर लॉन्च करने में सक्षम है (जैसे 'incus' समूह का सदस्य), एक ऐसी छवि का उपयोग कर सकता है जिसमें metadata.yaml में टेम्पलेट शामिल हैं। प्रतीकात्मक लिंक या निर्देशिका ट्रैवर्सल के माध्यम से, हमलावर स्रोत और लक्ष्य पथों को नियंत्रित कर सकता है, जिससे मनमाना फ़ाइल रीड और राइट संभव हो सकता है। यह भेद्यता होस्ट ऑपरेटिंग सिस्टम पर मनमाना कमांड निष्पादित करने की क्षमता की ओर ले जाती है, जिससे डेटा चोरी, सिस्टम समझौता और संभावित रूप से अन्य सिस्टम तक पहुंच हो सकती है। यह भेद्यता Log4Shell जैसी शोषण पैटर्न के समान है, जहां टेम्पलेटिंग कार्यक्षमता का दुरुपयोग किया जाता है।
CVE-2026-23954 को अभी तक CISA KEV सूची में शामिल नहीं किया गया है। EPSS स्कोर अभी तक उपलब्ध नहीं है। सार्वजनिक रूप से उपलब्ध प्रमाण-अवधारणा (PoC) अभी तक ज्ञात नहीं हैं, लेकिन भेद्यता की गंभीरता और संभावित प्रभाव को देखते हुए, सक्रिय शोषण की संभावना है। यह भेद्यता 2026-01-22 को प्रकाशित हुई थी।
Organizations utilizing Incus for container orchestration, particularly those with container users possessing elevated privileges or access to sensitive data, are at risk. Shared hosting environments where multiple users can launch containers with custom images are also particularly vulnerable. Environments using older, unpatched Incus versions are at the highest risk.
• linux / server:
journalctl -u incusd | grep -i "template parsing error"• linux / server:
lsof -i :8080 | grep incusd # Check for Incus process listening on standard port• generic web:
curl -I http://<incus_ip>:8080/api/v1/ | grep -i "server: incus"disclosure
एक्सप्लॉइट स्थिति
EPSS
0.05% (15% शतमक)
CISA SSVC
CVSS वेक्टर
CVE-2026-23954 को कम करने के लिए, Incus को संस्करण 6.1.1 या बाद के संस्करण में अपग्रेड करना महत्वपूर्ण है। यदि अपग्रेड संभव नहीं है, तो एक अस्थायी समाधान के रूप में, कंटेनर छवियों में metadata.yaml फ़ाइलों में टेम्पलेटिंग का उपयोग करने से बचें। इसके अतिरिक्त, एक वेब एप्लिकेशन फ़ायरवॉल (WAF) या प्रॉक्सी का उपयोग करके, संभावित रूप से दुर्भावनापूर्ण अनुरोधों को ब्लॉक किया जा सकता है। सिस्टम लॉग की नियमित निगरानी भी असामान्य गतिविधि का पता लगाने में मदद कर सकती है। अपग्रेड के बाद, यह सत्यापित करें कि भेद्यता ठीक हो गई है, कंटेनर लॉन्च करके और metadata.yaml फ़ाइलों में प्रतीकात्मक लिंक या निर्देशिका ट्रैवर्सल का उपयोग करने का प्रयास करके।
Actualice Incus a una versión superior a 6.20.0 o a la versión 6.0.6, cuando estén disponibles. Esto corregirá la vulnerabilidad de lectura y escritura arbitraria de archivos en el host a través de la funcionalidad de plantillas.
भेद्यता विश्लेषण और गंभीर अलर्ट सीधे आपके ईमेल में।
CVE-2026-23954 Incus कंटेनर प्रबंधन प्रणाली में एक भेद्यता है जो हमलावरों को होस्ट पर मनमाना कमांड निष्पादित करने की अनुमति देती है।
यदि आप Incus के संस्करण 6.1.0 या उससे पहले का उपयोग कर रहे हैं, तो आप प्रभावित हैं।
Incus को संस्करण 6.1.1 या बाद के संस्करण में अपग्रेड करें।
हालांकि अभी तक सार्वजनिक शोषण ज्ञात नहीं हैं, भेद्यता की गंभीरता को देखते हुए सक्रिय शोषण की संभावना है।
Incus टीम की आधिकारिक वेबसाइट या GitHub रिपॉजिटरी पर जाएँ।
अपनी डिपेंडेंसी फ़ाइल अपलोड करें और तुरंत जानें कि यह CVE और अन्य आपको प्रभावित करती हैं या नहीं।
अपनी go.mod फ़ाइल अपलोड करें और तुरंत जानें कि आप प्रभावित हैं या नहीं।