CVE-2026-33945 Incus 容器 systemd 凭据写入漏洞

CVE-2026-33945 是 Incus 系统中的一个高危漏洞，源于其在 github.com/lxc/incus 中 systemd-creds 选项的处理方式。攻击者可以利用此漏洞进行任意文件写入。具体来说，如果 Incus 配置允许使用 systemd-creds 认证，攻击者可以通过精心构造的请求，将恶意文件写入到服务器文件系统中的任意位置。这可能导致攻击者篡改关键配置文件，例如修改用户密码、注入恶意脚本，甚至完全控制受影响的系统。受影响的数据可能包括用户凭据、敏感配置信息、以及存储在文件系统中的任何其他数据。由于 Incus 通常用于容器管理和存储，因此该漏洞的爆发半径可能相当广泛，可能影响到多个容器和虚拟机，甚至整个数据中心。攻击者可以利用此漏洞获取对底层基础设施的控制权，从而造成严重的业务中断和数据泄露。攻击者可能首先利用此漏洞获取对 Incus 服务的访问权限，然后利用其权限在服务器上执行任意代码，最终实现对整个系统的控制。

1. 已保留2026-03-24
2. 发布日期2026-04-07
3. EPSS 更新日期2026-04-03

为了修复 CVE-2026-33945，强烈建议立即升级到 Incus 6.23.0 或更高版本。此版本包含了修复该漏洞的补丁。如果无法立即升级，可以考虑以下临时缓解措施：禁用 systemd-creds 认证选项，这会阻止攻击者利用此漏洞。如果必须使用 systemd-creds 认证，请确保对 Incus 的访问权限进行严格控制，并实施多因素身份验证。升级时，请务必备份 Incus 的配置文件和数据，以防止意外情况发生。升级完成后，验证 Incus 服务是否正常运行，并检查系统日志中是否有任何异常活动。建议在非生产环境中进行测试升级，以确保升级过程不会对生产环境造成影响。升级过程应遵循标准的软件升级流程，包括下载最新版本、备份现有配置、应用补丁、重启服务以及验证升级结果。