Zum Inhalt springen
Centoculus

Sicherheitswarnung · Kritisch

Kritische Schwachstelle in LXD und MicroCloud erlaubt Angreifern, sich als vertrauenswürdige Clients auszugeben

· 3 Minuten Lesezeit · Centoculus Security Team

Bekannt seit

Betroffen: Canonical LXD und MicroCloud (betroffene Versionen: siehe Herstellerhinweis)

Was ist passiert

Am 1. November 2026 wurde eine kritische Schwachstelle in Canonical LXD und MicroCloud öffentlich bekannt. Sie ist mit CVSS 10.0 bewertet. Die Schwachstelle ermöglicht es einem Angreifer, sich an der HTTPS-API von LXD als vertrauenswürdiger Client zu authentifizieren, ohne dessen privaten Schlüssel zu besitzen.

Für einen Angriff benötigt der Angreifer zwei Dinge: Netzwerkzugang zur HTTPS-API und das öffentliche Zertifikat eines vertrauenswürdigen Clients. Ein öffentliches Zertifikat ist per Konzeption nicht geheim, daher sollte dies nicht als starke Hürde betrachtet werden. Gelingt der Angriff, erhält der Angreifer Zugriff auf den Cluster und die darauf laufenden virtuellen Maschinen.

Derzeit liegen keine Berichte über eine aktive Ausnutzung vor.

Wer ist betroffen

Betroffen sind Betreiber von LXD-Hosts und MicroCloud-Clustern, deren HTTPS-API über das Netzwerk erreichbar ist. Dazu gehören Umgebungen, in denen sich entfernte Clients, andere Cluster-Mitglieder oder Verwaltungswerkzeuge mit Client-Zertifikaten an LXD anbinden. Systeme, bei denen die API nur über den lokalen Unix-Socket erreichbar ist und nicht über HTTPS offengelegt wird, sind einem deutlich geringeren Risiko ausgesetzt.

Die Quelldaten nennen keine betroffenen oder korrigierten Versionen. Prüfen Sie die unten verlinkte Herstellerwarnung auf die genauen Versionen.

Was Sie jetzt tun sollten

  1. Ermitteln Sie alle Hosts mit LXD oder MicroCloud, einschließlich Cluster-Mitgliedern sowie Test- und Laborsystemen.
  2. Prüfen Sie den unten verlinkten Hinweis auf die korrigierten Versionen und aktualisieren Sie jeden Host. Bei Snap-Installationen geschieht dies in der Regel mit snap refresh lxd und snap refresh microcloud. Bestätigen Sie anschließend die installierte Version mit snap list lxd microcloud.
  3. Beschränken Sie den Netzwerkzugang zur HTTPS-API von LXD (standardmäßig TCP-Port 8443) mit einer Firewall, sodass nur vertrauenswürdige Verwaltungshosts und Cluster-Mitglieder sie erreichen können. Stellen Sie die API nicht ins Internet.
  4. Falls Sie keinen Fernzugriff benötigen, sollten Sie den HTTPS-Listener deaktivieren, indem Sie core.https_address zurücksetzen. Dann ist LXD nur noch über den lokalen Unix-Socket erreichbar.
  5. Überprüfen Sie nach dem Update, ob Instanzen und Cluster-Mitglieder einwandfrei laufen, zum Beispiel mit lxc cluster list und lxc list.

So prüfen Sie, ob Sie betroffen sind

  • Prüfen Sie, ob die API im Netzwerk lauscht: lxc config get core.https_address oder ss -tlnp | grep 8443.
  • Vergleichen Sie die installierte Version (snap list lxd microcloud) mit den korrigierten Versionen in der Herstellerwarnung.
  • Überprüfen Sie die vertrauenswürdigen Clients mit lxc config trust list und entfernen Sie Einträge, die Ihnen nicht bekannt sind.
  • Sehen Sie die LXD-Protokolle und den Operationsverlauf durch (lxc operation list, journalctl -u snap.lxd.daemon). Achten Sie auf unerwartete API-Aufrufe, neue Instanzen, Konfigurationsänderungen oder Konsolen- und Exec-Sitzungen, insbesondere von unbekannten IP-Adressen.
  • Falls Sie Hinweise auf unautorisierten Zugriff finden, behandeln Sie die betroffenen Instanzen als kompromittiert: Isolieren Sie sie, erneuern Sie Zugangsdaten und Zertifikate und stellen Sie sie aus bekannt guten Backups wieder her.

Quellen

Weitere Beiträge