Incus 在从 github.com/lxc/incus 的 simplestreams 服务器下载镜像时，未验证组合指纹。

该漏洞允许攻击者通过提供伪造的镜像指纹，诱使 Incus 下载并运行恶意镜像。攻击者可以利用此漏洞执行任意代码，窃取敏感数据，甚至完全控制受影响的系统。由于 Incus 通常用于容器管理和编排，因此该漏洞的潜在影响范围非常广泛，可能影响到整个容器环境的安全。攻击者可能利用此漏洞进行横向移动，攻击其他容器或主机，造成更大的损失。该漏洞的严重性类似于供应链攻击，攻击者可以通过控制镜像源来影响下游用户。

Organizations heavily reliant on containerized applications managed by Incus, particularly those using Simplestreams for image storage and distribution, are at risk. Environments with limited image scanning capabilities or weak network segmentation policies are especially vulnerable.

• go / application: Examine Incus logs for errors related to image downloads and fingerprint verification. Use go tool pprof to analyze Incus's performance and identify potential bottlenecks related to fingerprinting. • generic web: Monitor Simplestreams server logs for unusual image upload patterns or requests from Incus instances. • linux / server: Use journalctl -u incus to check for error messages related to image downloads and fingerprint verification failures. Implement auditd rules to monitor access to the Simplestreams API.

1. 2026-04-07Disclosure

   disclosure

1. 已保留2026-03-20
2. 发布日期2026-04-07
3. EPSS 更新日期2026-04-03

最有效的缓解措施是立即升级 Incus 至 6.23.0 或更高版本。如果无法立即升级，可以考虑以下临时缓解措施：首先，限制 Incus 从不受信任的 simplestreams 服务器下载镜像。其次，实施严格的镜像签名验证策略，确保下载的镜像来自可信来源。第三，监控 Incus 的日志，查找异常活动，例如来自未知源的镜像下载。可以使用 WAF 或代理来拦截和阻止来自恶意镜像源的请求。升级后，确认指纹验证功能已正确启用，并检查系统日志以确认没有异常。