通过 raw.apparmor 和 raw.qemu.conf 绕过 VM 低级别限制

LXD中的CVE-2026-34177允许在受限项目中的VM实例上具有“can_edit”权限的用户获得对整个集群的管理员访问权限。这是由于isVMLowLevelOptionForbidden函数从其硬编码的禁止选项列表中省略了raw.apparmor和raw.qemu.conf。这种遗漏允许攻击者将LXD Unix套接字桥接到来宾VM，从而绕过restricted.virtual-machines.lowlevel=block项目限制，该限制专门设计用于防止这种情况发生。影响是严重的，受损的集群可能导致数据泄露、系统中断和完全丧失控制权。

Organizations heavily reliant on LXD for container orchestration and virtualization are at significant risk. Specifically, environments with multiple users having can_edit permissions on VM instances within restricted projects are particularly vulnerable. Shared hosting environments utilizing LXD also pose a heightened risk due to the potential for cross-tenant exploitation.

• linux / server:

journalctl -u lxd | grep -i 'forbidden lowlevel option'

• linux / server:

ps aux | grep -i 'lxd' | grep -i 'raw.apparmor'

• generic web: Check LXD API endpoints for unauthorized configuration changes using curl or wget.

1. 2026-04-10Disclosure

   disclosure

1. 已保留2026-03-26
2. 发布日期2026-04-10
3. EPSS 更新日期2026-04-16

CVE-2026-34177的主要缓解措施是将LXD升级到版本6.8.0或更高版本。此版本通过将raw.apparmor和raw.qemu.conf正确包含在禁止选项列表中来修复漏洞。作为临时措施，限制具有“can_edit”权限的用户的对VM的访问，限制其功能并减少攻击面。定期检查和审核LXD项目配置，以识别潜在的易受攻击设置。快速修补对于最大程度地减少利用风险至关重要。