Kritik CVSS 10.0 açığı, saldırganların güvenilir LXD ve MicroCloud istemcilerini taklit etmesine izin veriyor

Canonical, konteyner ve sanal makine yöneticisi LXD ile MicroCloud ürünlerinde, saldırganın güvenilir bir istemcinin özel anahtarına sahip olmadan o istemci olarak giriş yapmasına izin veren azami önem derecesinde bir açık duyurdu. The Hacker News'in 1 Kasım 2026 tarihli haberine göre CVE-2026-112816 olarak izlenen zafiyet 10.0'lık CVSS puanı taşıyor. Açığın istismar edildiğine dair kamuya yansımış bir iz yok; ancak açık, bir kümenin tamamını ve en kötü senaryoda ana makineyi tehlikeye atabiliyor.

Neler oldu?

The Hacker News'e göre açığı, LXD'nin topluluk çatalı olan Incus projesi bildirdi; Canonical da LXD'nin etkilendiğini doğruladı. Haberde saldırının gerçekleştirilmesi için saldırganın "HTTPS API'sine ağ üzerinden erişmesi ve güvenilir istemcinin public sertifikasına sahip olması" gerektiği belirtiliyor. Public bir sertifika gizli olmadığından, bu koşul kulağa geldiğinden çok daha zayıf bir engel oluşturuyor. Canonical, taklit edilen hesabın yetkili olması durumunda saldırganın "ana makinede root erişimi" elde edebileceğini söyledi.

Teknik detaylar

The Hacker News, LXD ve MicroCloud'un karşılıklı TLS'e dayandığını ve sertifikası sunucunun güven deposunda bulunan bir istemciyi güvenilir saydığını aktarıyor. Sunucu, istemcinin sunduğu her sertifikayı bu depoya karşı denetliyordu. Habere göre sorun şu: Bir TLS bağlantısı yalnızca uç (leaf) sertifikanın özel anahtarına sahip olunduğunu kanıtlar; zincirin geri kalanı istemcinin eklemeyi seçtiği şeydir. Bu nedenle saldırgan, güvenilir bir istemcinin public sertifikasını kendi sertifikasının arkasına ekleyebiliyor ve sunucu bağlantıyı o güvenilir istemci olarak kabul ediyor. MicroCloud için Canonical özel bir zayıf noktaya dikkat çekiyor: Bir üyenin kümeye katılırken public sertifikasını yakalayan saldırgan, ardından o üye olarak giriş yapabiliyor.

Kimler etkileniyor?

The Hacker News'in atıfta bulunduğu CVE kaydına göre etkilenen LXD sürümleri arasında, her biri yamalı sürümünden önceki 4.0.14, 5.0.10, 5.21.8 ve 6.9 yer alıyor. Haberde, bağımsız bir LXD sunucusunun API'sini varsayılan olarak dışa açmadığı; core.https_address ile ağ API'si etkinleştirilmediği sürece yalnızca yerel bir sokette dinlediği belirtiliyor. CVE kaydında anılan ve 30 Ekim tarihli bir CISA değerlendirmesine göre açığın istismar edildiği bilinmiyor ve açık CISA'nın Bilinen İstismar Edilen Zafiyetler listesinde yer almıyor.

Ne yapmalı?

The Hacker News'e göre çözüm, yamalı sürümlere güncellemek. Snap kurulumlarında yöneticiler sudo snap refresh lxd ve sudo snap refresh microcloud komutlarını çalıştırmalı. Yamalı sürümler LXD 6.10.1, 5.21.9, 5.0.11 ve 4.0.15; MicroCloud 3.4.1 ve 2.1.5. Haberde Canonical'ın, güvenlik bülteni yayımlandığında yamalı LXD sürümlerinin hâlâ candidate kanalından stable kanalına geçmekte olduğunu söylediği aktarılıyor; bu nedenle yöneticiler güncellemeden sonra kurulu sürümü doğrulamalı. Topluluk çatalı Incus aynı sorunu 7.6.0 sürümünde giderdi; habere göre bu sürüm ayrıca 17 güvenlik açığını daha kapatıyor. Canonical LXD için geçici bir çözüm sunmuyor; ancak saldırı API'ye ağ erişimi gerektirdiğinden, API'ye kimin erişebileceğini sınırlamak yama tamamlanana kadar riski azaltıyor.