LXDで認証なしにクラスター全権取得、修正版あり
Summary
LXDのHTTPS待ち受けで証明書の検証に不備があり、認証なしでクラスターと仮想マシンを丸ごと操作されるおそれがあります。該当する4系列すべてに修正版が出ているので、版を確認して更新してください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
LXDのHTTPS待ち受けで証明書の検証に不備があり、認証なしでクラスターと仮想マシンを丸ごと操作されるおそれがあります。該当する4系列すべてに修正版が出ているので、版を確認して更新してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| Canonical | LXD |
≥ 4.0.14, < 4.0.15 ≥ 5.0.10, < 5.0.11 ≥ 5.21.8, < 5.21.9 ≥ 6.9.0, < 6.10.1 |
4.0.15 5.0.11 5.21.9 6.10.1 |
Original description The description as published by the source.
Improper certificate validation in the HTTPS listener in Canonical LXD 4.0.14, 5.0.10, 5.21.8, 6.9 before 4.0.15, 5.0.11, 5.21.9, 6.10.1 allows an unauthenticated attacker to authenticate as any trusted client and gain full access to the cluster and managed virtual machines via a crafted certificate chain.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web security@ubuntu.com
- web security@ubuntu.com
- web security@ubuntu.com
- web security@ubuntu.com
- web security@ubuntu.com
- web security@ubuntu.com
- web nvd.nist.gov
- web github.com