Incus 容器镜像模板化任意主机文件读取和写入

该漏洞的影响极其严重，攻击者可以利用恶意构造的 metadata.yaml 文件，通过目录遍历或符号链接绕过安全检查，读取和写入主机文件系统中的敏感数据。攻击者可以读取包含密码、密钥或其他敏感信息的配置文件，甚至可以修改系统文件，从而完全控制受影响的主机。这种攻击模式类似于其他供应链攻击，可能导致数据泄露、系统破坏和业务中断。由于 Incus 通常用于管理容器环境，攻击者可能利用该漏洞进行横向移动，攻击集群中的其他容器和节点。

Organizations utilizing Incus for container orchestration, particularly those with container users possessing elevated privileges or access to sensitive data, are at risk. Shared hosting environments where multiple users can launch containers with custom images are also particularly vulnerable. Environments using older, unpatched Incus versions are at the highest risk.

• linux / server:

journalctl -u incusd | grep -i "template parsing error"

• linux / server:

lsof -i :8080 | grep incusd # Check for Incus process listening on standard port

• generic web:

curl -I http://<incus_ip>:8080/api/v1/ | grep -i "server: incus"

1. 2026-01-22Disclosure

   disclosure

1. 已保留2026-01-19
2. 发布日期2026-01-22
3. 修改日期2026-03-27
4. EPSS 更新日期2026-03-23

最有效的缓解措施是立即升级至 Incus 6.1.1 或更高版本，该版本修复了此漏洞。如果无法立即升级，可以考虑以下临时缓解措施：限制用户创建自定义镜像的能力，严格审查所有自定义镜像的 metadata.yaml 文件，确保其中不包含恶意代码或利用目录遍历或符号链接的配置。此外，可以考虑使用 Web 应用防火墙 (WAF) 或代理服务器来过滤恶意请求，并监控系统日志以检测异常活动。在升级后，请验证漏洞是否已成功修复，例如通过尝试使用包含恶意 metadata.yaml 文件的镜像来触发漏洞。