Incus container image templating willekeurig host bestand lezen en schrijven

Een succesvolle exploitatie van CVE-2026-23954 kan leiden tot ernstige gevolgen. Een aanvaller kan, door het uitbuiten van directory traversal of symbolische links in de templating functionaliteit, gevoelige hostbestanden lezen. Verder kan de aanvaller bestanden schrijven naar willekeurige locaties op de host, waardoor het mogelijk wordt om kwaadaardige code uit te voeren. Dit kan resulteren in volledige controle over de hostmachine, inclusief data-exfiltratie, configuratiewijzigingen en verdere aanval op andere systemen in het netwerk. De impact is vergelijkbaar met scenario's waarbij een container escape mogelijk is, waardoor de aanvaller de containeromgeving verlaat en toegang krijgt tot het onderliggende host-systeem.

Organizations utilizing Incus for container orchestration, particularly those with container users possessing elevated privileges or access to sensitive data, are at risk. Shared hosting environments where multiple users can launch containers with custom images are also particularly vulnerable. Environments using older, unpatched Incus versions are at the highest risk.

• linux / server:

journalctl -u incusd | grep -i "template parsing error"

• linux / server:

lsof -i :8080 | grep incusd # Check for Incus process listening on standard port

• generic web:

curl -I http://<incus_ip>:8080/api/v1/ | grep -i "server: incus"

1. 2026-01-22Disclosure

   disclosure

1. Gereserveerd2026-01-19
2. Gepubliceerd2026-01-22
3. Gewijzigd2026-03-27
4. EPSS bijgewerkt2026-03-23

De primaire mitigatie voor CVE-2026-23954 is het upgraden naar Incus versie 6.1.1 of hoger. Indien een directe upgrade niet mogelijk is, kan een tijdelijke workaround bestaan uit het beperken van de rechten van gebruikers die containers kunnen lanceren met aangepaste images. Controleer de metadata.yaml bestanden in de images op potentieel kwaadaardige templates. Implementeer een security scanner die directory traversal en symbolische links in templates detecteert. Overweeg het gebruik van een Web Application Firewall (WAF) om verdachte requests te blokkeren. Na de upgrade, verifieer de fix door een container te lanceren met een image die een kwaadaardige metadata.yaml bevat en controleer of de directory traversal/symlink exploitatie mislukt.