Lỗ hổng CVSS 10.0 trong LXD và MicroCloud cho phép giả mạo client tin cậy mà không cần khóa riêng

Một lỗ hổng nghiêm trọng trong LXD và MicroCloud của Canonical cho phép kẻ tấn công đăng nhập vào hệ thống với tư cách một client tin cậy mà không cần sở hữu khóa riêng của client đó. Điều kiện để khai thác là kẻ tấn công phải truy cập được HTTPS API qua mạng và có chứng chỉ công khai của client tin cậy. Lỗ hổng được ghi nhận với mã CVE-2026-112816, đạt điểm CVSS tối đa 10.0, và Canonical đã phát hành phiên bản đã vá cho cả hai sản phẩm.

Cơ chế của lỗ hổng

LXD và MicroCloud cho phép client từ xa truy cập API qua mutual TLS, trong đó client xuất trình chứng chỉ để chứng minh danh tính. Một client được coi là tin cậy khi chứng chỉ của nó nằm trong trust store của máy chủ.

Vấn đề nằm ở cách máy chủ kiểm tra chứng chỉ: nó so sánh mọi chứng chỉ mà client gửi lên với trust store, nhưng kết nối TLS chỉ chứng minh client sở hữu khóa riêng của chứng chỉ đầu tiên trong chuỗi. Phần còn lại của chuỗi là do client tự gắn vào. Vì vậy, kẻ tấn công có thể lấy chứng chỉ công khai của một client tin cậy, gắn nó vào chuỗi phía sau chứng chỉ của mình, và máy chủ sẽ chấp nhận họ là client đó.

Sau khi vào được, kẻ tấn công hành động như client bị giả mạo, có quyền truy cập vào cluster và các máy ảo. Nếu tài khoản bị giả mạo có đặc quyền cao, kẻ tấn công có thể đạt quyền root trên máy chủ vật lý.

Phạm vi ảnh hưởng

Khai thác lỗ hổng cần hai yếu tố: quyền truy cập mạng vào HTTPS API và chứng chỉ công khai của một client mà máy chủ đã tin cậy.

• Máy chủ LXD độc lập không mở API này theo mặc định, chỉ lắng nghe trên socket cục bộ trừ khi quản trị viên bật API mạng bằng thiết lập core.https_address.
• MicroCloud, vốn gộp nhiều máy chạy LXD thành một cluster, có điểm yếu riêng: kẻ tấn công chặn được chứng chỉ công khai của một thành viên khi thành viên đó gia nhập cluster thì có thể đăng nhập với tư cách thành viên đó.

Các phiên bản LXD bị ảnh hưởng gồm 4.0.14, 5.0.10, 5.21.8 và 6.9, tức các bản trước phiên bản vá tương ứng. Các gói LXD trong kho chính thức của Ubuntu được ghi nhận là không bị ảnh hưởng hoặc không được phân phối, nên bản vá nằm ở các gói snap.

Lỗi không bắt nguồn từ Canonical. Dự án Incus, vốn khởi đầu là bản fork cộng đồng của LXD, đã báo cáo vấn đề và Canonical xác nhận LXD cũng bị ảnh hưởng. Incus đã vá lỗi tương tự trong phiên bản 7.6.0.

Chưa ghi nhận bị khai thác

Chưa có dấu hiệu công khai nào cho thấy lỗ hổng đã bị lợi dụng trong tấn công. Hồ sơ CVE có đánh giá của CISA Mỹ ngày 30 tháng 10 rằng lỗ hổng chưa được biết là đã bị khai thác; nó không nằm trong danh sách lỗ hổng bị khai thác đã biết của CISA và chưa có mã khai thác nào được công bố.

Khuyến nghị xử lý

Cập nhật LXD và MicroCloud lên phiên bản đã vá. Với bản cài bằng snap, chạy sudo snap refresh lxd và sudo snap refresh microcloud.

Canonical cho biết tại thời điểm phát hành khuyến cáo, các bản LXD đã vá vẫn đang được đưa dần từ kênh candidate sang stable, nên cần kiểm tra phiên bản thực tế sau khi refresh thay vì mặc định rằng bản vá đã về.

Khuyến cáo của Canonical không đưa ra biện pháp tạm thời cho LXD. Vì tấn công cần truy cập mạng vào API, hạn chế đối tượng có thể tiếp cận API sẽ giảm rủi ro cho đến khi cập nhật. Dự án Incus cũng cho biết không có cách sửa bằng cấu hình, biện pháp duy nhất là giới hạn truy cập mạng tới listener. Người dùng Incus nên chuyển lên 7.6.0, phiên bản vá lỗi này cùng 17 vấn đề bảo mật khác.

Nguồn: The Hacker News