Platform
go
Component
github.com/canonical/lxd
Opgelost in
5.0.7
5.21.5
6.8.0
0.0.1
CVE-2026-34178 represents a critical Remote Code Execution (RCE) vulnerability discovered in the LXD container management system. This flaw arises from a discrepancy in how instance backups are imported, allowing an attacker to craft malicious backups that bypass project restrictions and potentially gain unauthorized control. The vulnerability affects LXD versions up to 0.0.0-20260226085519-736f34afb267, and a fix is available in version 6.8.0.
CVE-2026-34178 in LXD stelt een aanvaller in staat om projectbeperkingen te omzeilen tijdens het importeren van backups. LXD valideert projectbeperkingen tegen backup/index.yaml binnen het tar-archief, maar maakt de daadwerkelijke instantie aan van backup/container/backup.yaml die naar het opslagvolume wordt geëxtraheerd. Omdat deze afzonderlijke, onafhankelijk door de aanvaller te controleren bestanden zich binnen hetzelfde tar-archief bevinden, kan een aanvaller met instantiecreatierechten in een beperkt project een backup maken waarin index.yaml een schone configuratie bevat (die alle beperkingscontroles doorstaat), terwijl backup.yaml configuraties bevat die ongeautoriseerde code-uitvoering of toegang tot beperkte resources mogelijk maken. Dit kan leiden tot privilege-escalatie, ongeautoriseerde toegang tot gevoelige gegevens of de uitvoering van kwaadaardige code binnen het project, zelfs als het project is ontworpen om geïsoleerd te zijn.
Een aanvaller heeft rechten nodig om instanties binnen een beperkt project te maken. Ze kunnen een kwaadaardige backup maken die een index.yaml bevat die de initiële beperkingsvalidaties doorstaat, maar een backup.yaml die configuraties bevat die kwaadaardige code-uitvoering of ongeautoriseerde toegang tot resources mogelijk maken. Het importeren van deze backup zal LXD ertoe aanzetten om de instantie te maken met behulp van de configuratie van backup.yaml, waardoor de in index.yaml gedefinieerde beperkingen worden omzeild. Dit is vooral zorgwekkend in multi-tenant omgevingen waar projecten zijn ontworpen om geïsoleerd te zijn.
Exploit Status
EPSS
0.05% (16% percentiel)
CISA SSVC
CVSS-vector
De belangrijkste mitigatie voor CVE-2026-34178 is het upgraden van LXD naar versie 6.8.0 of hoger. Deze versie patch de kwetsbaarheid door projectbeperkingen te valideren tegen beide bestanden (index.yaml en backup.yaml) tijdens het backup-importproces. Als extra voorzorgsmaatregel, controleer alle geïmporteerde backups zorgvuldig, vooral die van niet-vertrouwde bronnen. Bovendien kan het implementeren van robuuste beveiligingsbeleid die instantiecreatierechten en toegang tot resources beperken, helpen om de potentiële impact van deze kwetsbaarheid te verminderen.
Actualice a la versión 6.8.0 o superior de LXD. Esta versión corrige la vulnerabilidad al validar las restricciones del proyecto contra el archivo correcto en el archivo de respaldo importado, previniendo la posibilidad de eludir las restricciones y comprometer el host.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
LXD is een type 1 virtualisatiesysteem dat een eenvoudige en veilige manier biedt om Linux-containers te maken en te beheren.
Deze kwetsbaarheid stelt een aanvaller in staat om de beveiligingsbeperkingen van LXD te omzeilen, wat kan leiden tot privilege-escalatie en ongeautoriseerde toegang tot gegevens.
Upgrade LXD zo snel mogelijk naar versie 6.8.0 of hoger.
Controleer alle geïmporteerde backups zorgvuldig en implementeer robuuste beveiligingsbeleid.
Als u backups van niet-vertrouwde bronnen heeft geïmporteerd, bent u mogelijk getroffen. Controleer uw systeem op verdachte activiteiten.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je go.mod-bestand en we vertellen je direct of je getroffen bent.