重大 10.0 急ぎ度: 至急

LXDで認証なしにクラスター全権取得、修正版あり

LXDのHTTPS待ち受けで証明書の検証に不備があり、認証なしでクラスターと仮想マシンを丸ごと操作されるおそれがあります。該当する4系列すべてに修正版が出ているので、版を確認して更新してください。

CVE-2026-112816 公開 1:50 生成 AI で作成

急ぎ度: 至急

CVSS v4が満点の10で、認証不要のままネットワーク越しにクラスター全体を奪われるおそれがあり、4系列すべてに修正版が出ているためです。

関係があるか

Canonical LXDをHTTPSで外部から操作できる状態にしている環境が対象です。クラスターを組んでいる環境や、仮想マシンを載せている環境は被害が大きくなります。

製品	影響を受ける版	修正版
Canonical LXD 4.0系	4.0.14	4.0.15
Canonical LXD 5.0系	5.0.10	5.0.11
Canonical LXD 5.21系	5.21.8	5.21.9
Canonical LXD 6系	6.9.0以上6.10.1未満	6.10.1

確かめ方

1各ホストでlxd --versionを実行し、上の表の影響する版に当たるかを確認します。snapで導入している場合はsnap list lxdでも版を見られます。
2lxc config get core.https_addressで、HTTPSでの待ち受けが有効かどうかを確認します。値が空なら待ち受けは無効とみられますが、告知で影響範囲を確かめてください。
3MicroCloudなど、LXDを内部で使っている製品も使っていないか洗い出します。ベンダーの告知にはMicroCloudの名前も挙がっているので、該当する場合は告知で対象の版を確認してください。

何が起きたか

LXDがHTTPSで受け付ける接続で、クライアントの証明書を正しく検証できない脆弱性が見つかりました。これを突かれると、認証を受けていない第三者が「信頼済みのクライアント」になりすまし、クラスターと管理下の仮想マシンへ全面的にアクセスできてしまいます。

CWEの分類は、証明書の検証不備にあたるCWE-295です。細工された証明書の連鎖を送ることで検証をすり抜けられると説明されています。

Canonicalは4.0・5.0・5.21・6の各系列で修正版をそろえ、2026年10月30日に脆弱性を公表しました。公表の翌日の時点なので、各社の対応は始まったばかりと考えられます。

攻撃の流れ

1

到達できる

LXDのHTTPS待ち受けにネットワークから接続できる位置にいます。
2

細工した証明書

検証をすり抜ける証明書の連鎖を提示します。
3

信頼済みになる

LXDが相手を正規のクライアントと誤って判断します。
4

全面操作

クラスターと仮想マシンを管理者並みに操作されます。

公開されている情報をもとにした流れの例です。

どう悪用されるか

認証は要りません。LXDのHTTPS待ち受けにネットワークから届けば足り、利用者の操作も特別な権限も必要ない、と評価されています。攻撃の難しさは低く、CVSS v4のベクターもそれに沿った内容です。

成功した場合、攻撃者は信頼済みクライアントと同じ権限でクラスター全体を操作できます。管理下の仮想マシンの中身の閲覧や改ざん、停止まで及ぶため、機密性・完全性・可用性のすべてが高い影響を受ける評価になっています。クラスター外の連携先にも被害が広がりうる、という見方も評価に含まれています。

今すぐやること

1
LXDを修正版に更新する

各系列の修正版（4.0.15、5.0.11、5.21.9、6.10.1）へ更新します。インターネットや広い社内ネットワークから届く環境を先に進めてください。クラスターは、ベンダーの告知に従ってノードごとの更新順を確認してから進めます。
```
lxd --version
```
2
HTTPS待ち受けの公開範囲を確かめる

待ち受けアドレスの設定を見て、不要に広いネットワークへ開いていないかを点検します。更新が済むまでの間も、到達できる範囲は狭いほど安全です。
```
lxc config get core.https_address
```
3
信頼済みクライアントの一覧を見直す

心当たりのない証明書や、登録日時が不自然なクライアントがないかを確認します。公表直後なので、更新が遅れた環境では念のため侵害の跡がないかも見ておくと、あとの判断が楽になります。
```
lxc config trust list
```
4

ベンダーの告知で詳細を確認する

CanonicalのセキュリティアドバイザリとGitHubのアドバイザリで、影響を受ける製品の範囲、回避策、更新手順を確認します。MicroCloudなど関連製品を使っている場合も、同じ告知で見てください。

すぐ更新できないとき

すぐに更新できない場合は、LXDのHTTPS待ち受けへ届くネットワークを、ファイアウォールなどで管理用の端末だけに絞ってください。待ち受けが不要なホストでは、無効にすることも選べます。これは根本対策ではなく、更新までのつなぎです。ベンダーが案内する回避策があるかは、告知で確認してください。

背景

LXDは、Canonicalが開発しているコンテナーと仮想マシンの管理ツールです。社内の検証環境や小規模な仮想基盤、複数ホストをまとめたクラスターで使われます。リモートからの操作にはHTTPSのAPIを使い、クライアント証明書を信頼するかどうかで、接続してきた相手を管理者として扱うかを決める仕組みです。

今回の脆弱性は、まさにこの入口の証明書検証に不備があるというものです。ログイン画面のパスワード照合が緩むのと似ていて、確認する側の判定が崩れると、あとの権限管理はほとんど意味を持ちません。そのため、認証前の段階で全面的な操作権限に直結し、評価が満点になっています。

よくある質問

Q.社内ネットワークからしか届かない環境でも、急いで更新すべきですか。

A.急ぐべきだと筆者は考えています。認証が要らないため、社内の端末が1台でも侵害されるか、来訪者の機器が接続されるだけで、クラスター全体に到達されうるからです。公開範囲が狭いことは時間を稼ぐ材料にはなりますが、更新を後回しにする理由にはなりません。

この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。

影響パッケージ

種類	パッケージ	影響を受ける版	修正版
Canonical	LXD	4.0.14 以上 4.0.15 未満 5.0.10 以上 5.0.11 未満 5.21.8 以上 5.21.9 未満 6.9.0 以上 6.10.1 未満	4.0.15 5.0.11 5.21.9 6.10.1

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

Improper certificate validation in the HTTPS listener in Canonical LXD 4.0.14, 5.0.10, 5.21.8, 6.9 before 4.0.15, 5.0.11, 5.21.9, 6.10.1 allows an unauthenticated attacker to authenticate as any trusted client and gain full access to the cluster and managed virtual machines via a crafted certificate chain.

出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory

関係があるか

確かめ方

何が起きたか

攻撃の流れ

どう悪用されるか

今すぐやること

LXDを修正版に更新する

HTTPS待ち受けの公開範囲を確かめる

信頼済みクライアントの一覧を見直す

ベンダーの告知で詳細を確認する

すぐ更新できないとき

背景

よくある質問

影響パッケージ

参照URL