Incus コンテナイメージテンプレートによるホストファイルの任意の読み書き

この脆弱性を悪用されると、攻撃者はコンテナの起動時にカスタムイメージを使用し、metadata.yamlファイル内のテンプレート機能に悪意のあるシンボリックリンクやディレクトリトラバーサルパスを挿入することで、ホストファイルシステムへのアクセス権を取得できます。これにより、機密情報の窃取、システムの改ざん、さらにはホストシステム上での任意のコード実行が可能になります。攻撃者は、Incusサーバー上で実行されるプロセスを乗っ取り、ネットワークへのアクセスを確立したり、他のシステムへの攻撃の足がかりとして利用したりする可能性があります。この脆弱性は、他のコンテナ管理システムにおける同様の脆弱性（例えば、Dockerにおける特権コンテナエスケープ）と同様の攻撃シナリオを可能にします。

Organizations utilizing Incus for container orchestration, particularly those with container users possessing elevated privileges or access to sensitive data, are at risk. Shared hosting environments where multiple users can launch containers with custom images are also particularly vulnerable. Environments using older, unpatched Incus versions are at the highest risk.

• linux / server:

journalctl -u incusd | grep -i "template parsing error"

• linux / server:

lsof -i :8080 | grep incusd # Check for Incus process listening on standard port

• generic web:

curl -I http://<incus_ip>:8080/api/v1/ | grep -i "server: incus"

1. 2026-01-22Disclosure

   disclosure

1. 予約済み2026-01-19
2. 公開日2026-01-22
3. 更新日2026-03-27
4. EPSS 更新日2026-03-23

Incus 6.1.1へのアップデートが最も効果的な対策です。アップデートできない場合は、カスタムイメージの使用を制限し、metadata.yamlファイルの内容を厳密に検証することでリスクを軽減できます。また、Incusサーバーのファイルシステムへのアクセスを制限し、コンテナの権限を最小限に抑えることで、攻撃の影響範囲を限定できます。WAFやプロキシサーバーを導入し、悪意のあるシンボリックリンクやディレクトリトラバーサルパターンを検出・ブロックすることも有効です。IncusOSを使用している場合は、IncusOSのアップデートも忘れずに行いましょう。