Incusには、systemd-credsオプションを介した任意のファイル書き込みの脆弱性があります

Incusのsystemd-credsオプションにおける任意のファイル書き込み脆弱性（CVE-2026-33945）は、攻撃者が認証情報を悪用することで、システム上で任意の場所にファイルを書き込むことを可能にします。具体的には、攻撃者はIncusクラスタにアクセスできるsystemdクレデンシャルを持つユーザーになりすますことで、設定ファイル、ログファイル、さらには実行可能ファイルを改ざんできる可能性があります。これにより、クラスタ全体の制御を奪取したり、機密情報を盗み出したり、悪意のあるコードを実行したりすることが考えられます。特に、Incusがストレージ管理や仮想化基盤として利用されている場合、影響範囲は広大になり、保存されているデータ、実行中の仮想マシン、そしてそれらにアクセスできるすべてのユーザーがリスクにさらされる可能性があります。攻撃者は、書き込み権限を持つファイルに悪意のあるスクリプトを配置し、Incusの再起動や特定のイベント発生時に自動的に実行させることも可能です。この脆弱性の深刻度はCRITICALであり、迅速な対応が必要です。

1. 予約済み2026-03-24
2. 公開日2026-04-07
3. EPSS 更新日2026-04-03

CVE-2026-33945の修正には、Incusをバージョン6.23.0以降にアップグレードすることが推奨されます。このバージョンでは脆弱性が修正されています。アップグレードが直ちに不可能である場合、systemd-credsオプションを無効にすることで、一時的な緩和策として機能します。ただし、この設定変更は、Incusの機能に影響を与える可能性があるため、事前に十分なテストを行う必要があります。アップグレードまたは設定変更後、Incusの再起動が必要になる場合があります。修正が適用されたことを確認するため、Incusのログを監視し、異常なファイル書き込み操作がないか確認することを推奨します。また、Incusクラスタへのアクセスを厳格に制限し、最小権限の原則を適用することで、攻撃のリスクを軽減できます。アップグレード手順は、Incusの公式ドキュメントを参照してください。