Plataforma
go
Componente
github.com/lxc/incus
Corrigido em
6.23.1
6.23.0
A vulnerabilidade CVE-2026-33542 afeta o Incus, uma plataforma de gerenciamento de containers. Esta falha ocorre devido à ausência de verificação adequada do fingerprint ao baixar imagens de servidores simplestreams, permitindo que imagens maliciosas sejam baixadas e potencialmente executadas. A vulnerabilidade impacta versões anteriores a 6.23.0 e pode levar à comprometimento do sistema.
Um atacante pode explorar esta vulnerabilidade para injetar imagens de contêineres maliciosas no ambiente Incus. Ao não verificar o fingerprint, o sistema aceita imagens que podem conter código malicioso, permitindo a execução de comandos arbitrários no host. Isso pode resultar em roubo de dados confidenciais, comprometimento do sistema operacional subjacente e até mesmo acesso não autorizado à rede. A ausência de verificação de fingerprint remove uma camada crucial de segurança, tornando o sistema vulnerável a ataques direcionados.
A vulnerabilidade foi divulgada em 2026-04-07. Não há informações disponíveis sobre exploração ativa ou presença na KEV (CISA KEV catalog) no momento da publicação. A ausência de um Proof of Concept (PoC) público não diminui a gravidade da vulnerabilidade, pois a exploração é conceitualmente simples.
Organizations heavily reliant on containerized applications managed by Incus, particularly those using Simplestreams for image storage and distribution, are at risk. Environments with limited image scanning capabilities or weak network segmentation policies are especially vulnerable.
• go / application: Examine Incus logs for errors related to image downloads and fingerprint verification. Use go tool pprof to analyze Incus's performance and identify potential bottlenecks related to fingerprinting.
• generic web: Monitor Simplestreams server logs for unusual image upload patterns or requests from Incus instances.
• linux / server: Use journalctl -u incus to check for error messages related to image downloads and fingerprint verification failures. Implement auditd rules to monitor access to the Simplestreams API.
disclosure
Status do Exploit
EPSS
0.04% (percentil 11%)
CISA SSVC
A mitigação primária para CVE-2026-33542 é atualizar o Incus para a versão 6.23.0 ou superior, que corrige a falha de verificação de fingerprint. Se a atualização imediata não for possível, considere desabilitar temporariamente o download de imagens de servidores simplestreams ou implementar um sistema de verificação de fingerprint externo. Monitore logs de acesso e downloads em busca de atividades suspeitas. Após a atualização, confirme a correção verificando os logs do Incus para garantir que o fingerprint das imagens baixadas esteja sendo validado.
Atualize Incus para a versão 6.23.0 ou superior. Esta versão corrige a falta de validação da impressão digital da imagem ao baixar de servidores de imagens simplestreams, evitando assim o envenenamento do cache de imagens e a possível execução de imagens controladas por atacantes.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
CVE-2026-33542 is a HIGH severity vulnerability in Incus affecting versions before 6.23.0. It allows attackers to potentially compromise container images by exploiting insufficient fingerprint verification when downloading from Simplestreams.
You are affected if you are running Incus versions prior to 6.23.0 and using Simplestreams for image storage and distribution. Upgrade to 6.23.0 to eliminate this risk.
Upgrade Incus to version 6.23.0 or later. This version includes the necessary fingerprint verification fix to prevent image compromise.
No public proof-of-concept exploits are currently known, but the vulnerability's nature makes it a potential target for exploitation. Continuous monitoring is recommended.
Refer to the official Incus project website and security advisories for the latest information and updates regarding CVE-2026-33542.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.
Envie seu arquivo go.mod e descubra na hora se você está afetado.