Leitura e escrita arbitrária de arquivos do host via modelagem de imagens de contêiner Incus

A exploração bem-sucedida desta vulnerabilidade permite que um atacante obtenha controle total sobre o sistema host. Ao manipular os templates em arquivos metadata.yaml dentro de imagens de container, um invasor pode contornar as verificações de segurança e realizar operações de leitura e escrita de arquivos arbitrários. Isso pode incluir a modificação de arquivos de sistema, a instalação de malware ou a obtenção de acesso a dados confidenciais armazenados no host. A possibilidade de execução de comandos arbitrários no host representa um risco significativo, especialmente em ambientes onde o Incus é utilizado para orquestrar containers com acesso a recursos críticos do sistema. A vulnerabilidade também afeta o IncusOS, ampliando o escopo do impacto.

Organizations utilizing Incus for container orchestration, particularly those with container users possessing elevated privileges or access to sensitive data, are at risk. Shared hosting environments where multiple users can launch containers with custom images are also particularly vulnerable. Environments using older, unpatched Incus versions are at the highest risk.

• linux / server:

journalctl -u incusd | grep -i "template parsing error"

• linux / server:

lsof -i :8080 | grep incusd # Check for Incus process listening on standard port

• generic web:

curl -I http://<incus_ip>:8080/api/v1/ | grep -i "server: incus"

1. 2026-01-22Disclosure

   disclosure

1. Reservado2026-01-19
2. Publicada2026-01-22
3. Modificada2026-03-27
4. EPSS atualizado2026-03-23

A mitigação primária para CVE-2026-23954 é a atualização para a versão 6.1.1 do Incus, que inclui a correção para esta vulnerabilidade. Se a atualização imediata não for possível, considere implementar medidas de segurança adicionais como uma camada de proteção. Restrinja as permissões dos usuários que podem criar containers, limitando o acesso à funcionalidade de templates. Implemente regras de firewall para restringir o acesso à API do Incus apenas a fontes confiáveis. Monitore os logs do Incus em busca de atividades suspeitas, como tentativas de acesso a arquivos não autorizados. Após a atualização, confirme a correção verificando se os templates não permitem mais a leitura ou escrita de arquivos fora do diretório esperado.