Обычный публичный сертификат оказался достаточным для обхода защиты серверов и получения доступа к виртуальным машинам. Компания Canonical подтвердила критическую уязвимость в LXD и MicroCloud, позволяющую злоумышленнику выдавать себя за доверенного клиента без знания закрытого ключа. Ошибка получила идентификатор CVE-2026-112816 и максимальную оценку 10 баллов по CVSS 4.0.
LXD управляет системными контейнерами и виртуальными машинами в Linux, а MicroCloud объединяет несколько серверов в кластер. Для удалённого управления платформы поддерживают HTTPS API с взаимной TLS-аутентификацией. Сервер проверяет клиентский сертификат и сопоставляет предоставленные данные со списком доверенных удостоверений. Уязвимость нарушала сам принцип такой проверки, позволяя принять чужую цифровую личность.
Причина заключалась в неправильной обработке цепочки TLS-сертификатов. Сервер сравнивал с доверенным списком все сертификаты, полученные от клиента, хотя криптографическая проверка подтверждала владение закрытым ключом только для первого сертификата цепочки. Злоумышленник мог добавить публичный сертификат доверенного клиента после собственного, заставив сервер принять соединение от имени другого пользователя.
Для эксплуатации требуются сетевой доступ к HTTPS API и публичный сертификат доверенного клиента. Закрытый ключ, который обычно подтверждает право на подключение, не нужен. После успешной аутентификации атакующий получает полномочия подменённой учётной записи, включая доступ к управляемым виртуальным машинами. При достаточно высоких привилегиях возможен полный контроль над хостом с правами root.
Особую опасность ошибка представляет для MicroCloud. При подключении нового участника к кластеру злоумышленник может перехватить публичный TLS-сертификат сервера, а затем использовать полученные сведения для подмены участника. Обычный LXD по умолчанию доступен только через локальный Unix-сокет. Удалённая атака становится возможной, если администратор разрешил сетевое подключение через параметр core.https_address.
Проблема затрагивает ветки LXD 4.0.14, 5.0.10, 5.21.8 и 6.9. Исправления вышли 29 октября в версиях 4.0.15, 5.0.11, 5.21.9 и 6.10.1 соответственно. Для MicroCloud подготовлены сборки 2.1.5 и 3.4.1. Первоначально ошибку выявили разработчики Incus, независимого ответвления LXD. Аналогичную уязвимость устранили в Incus 7.6.0 вместе с другими проблемами безопасности.
На 2 ноября публичных подтверждений эксплуатации CVE-2026-112816 в реальных атаках нет. Уязвимость также отсутствует в каталоге активно эксплуатируемых ошибок CISA. Canonical рекомендует немедленно обновить LXD и MicroCloud командами sudo snap refresh lxd и sudo snap refresh microcloud. Поскольку исправления распространялись постепенно, после обновления необходимо проверить установленную версию. До установки патчей риск снижает ограничение сетевого доступа к API.
