Incusは、github.com/lxc/incus内のsimplestreamsサーバーからイメージをダウンロードする際に、結合されたフィンガープリントを検証しません

この脆弱性は、攻撃者がIncusが使用するsimplestreamsサーバーに悪意のあるイメージを注入することを可能にします。Incusは、この悪意のあるイメージをダウンロードし、実行してしまう可能性があります。これにより、攻撃者はシステム上で任意のコードを実行し、機密情報を盗み出し、システムを完全に制御する可能性があります。この脆弱性は、特にIncusを信頼できないソースからイメージをダウンロードするために使用している環境において、深刻なリスクをもたらします。攻撃者は、既存のIncus環境に侵入し、他のシステムへの攻撃の足がかりとして利用する可能性があります。

Organizations heavily reliant on containerized applications managed by Incus, particularly those using Simplestreams for image storage and distribution, are at risk. Environments with limited image scanning capabilities or weak network segmentation policies are especially vulnerable.

• go / application: Examine Incus logs for errors related to image downloads and fingerprint verification. Use go tool pprof to analyze Incus's performance and identify potential bottlenecks related to fingerprinting. • generic web: Monitor Simplestreams server logs for unusual image upload patterns or requests from Incus instances. • linux / server: Use journalctl -u incus to check for error messages related to image downloads and fingerprint verification failures. Implement auditd rules to monitor access to the Simplestreams API.

1. 2026-04-07Disclosure

   disclosure

1. 予約済み2026-03-20
2. 公開日2026-04-07
3. EPSS 更新日2026-04-03

この脆弱性への最も効果的な対策は、Incusをバージョン6.23.0以降にアップデートすることです。アップデートがすぐに利用できない場合は、simplestreamsサーバーからのイメージダウンロードを一時的に停止するか、信頼できるソースからのイメージのみをダウンロードするように設定してください。また、ファイアウォールやネットワークセグメンテーションを使用して、Incus環境への不正アクセスを制限することも有効です。Incusのログを定期的に監視し、異常なアクティビティがないか確認することも重要です。アップデート後、イメージの整合性を確認し、脆弱性が修正されていることを確認してください。