ローカル Incus UI Webサーバーにおける認証回避の脆弱性 (github.com/lxc/incus)

この認証回避の脆弱性は、攻撃者がIncus UI Webサーバーに認証なしでアクセスすることを可能にします。これにより、機密情報（設定、コンテナの状態、ネットワーク情報など）への不正アクセス、改ざん、さらにはシステムの制御権奪取につながる可能性があります。攻撃者は、認証されたユーザーとしてシステムを操作し、他のコンテナやリソースに影響を与える可能性があります。この脆弱性は、特にIncus UIがインターネットに公開されている環境において、重大なリスクをもたらします。

Organizations deploying Incus for container storage orchestration are at risk. This includes Kubernetes environments utilizing Incus for persistent volumes and storage management. Specifically, environments with exposed Incus UI endpoints without proper network segmentation or access controls are particularly vulnerable.

• linux / server:

journalctl -u incus -g 'authentication bypass'

• generic web:

curl -I http://<incus_ip>/ui/ | grep 'WWW-Authenticate'

• generic web:

curl -I http://<incus_ip>/ui/ | grep 'Authorization: Basic'

1. 2026-04-07Disclosure

   disclosure

1. 予約済み2026-03-24
2. 公開日2026-04-07
3. EPSS 更新日2026-04-03

この脆弱性への最も効果的な対策は、Incusをバージョン6.23.0以降にアップデートすることです。アップデートがすぐに利用できない場合、Incus UIへのアクセスを制限し、ファイアウォールで保護することを検討してください。また、UIへのアクセスを必要とするユーザーのみにアクセス権を付与し、不要なサービスを無効にすることで、攻撃対象領域を減らすことができます。アップデート後、Incusのログを監視し、不正なアクセスがないか確認してください。