home / blog
2026-10-31 · critica
CVE-2026-112816: Validazione Certificato LXD Compromessa
Spoofing certificato in Canonical LXD 4.0.14-6.9 consente accesso completo a cluster e VM. CVSS 10,0.
CVE-2026-112816 descrive una vulnerabilità di validazione impropria dei certificati nel listener HTTPS di Canonical LXD (versioni 4.0.14, 5.0.10, 5.21.8, 6.9). Un attaccante non autenticato può creare una catena certificata falsa per impersonare un client trusted e ottenere accesso completo al cluster LXD e alle macchine virtuali gestite. Questo rappresenta un accesso totale non autorizzato all'infrastruttura virtualizzata.
La vulnerabilità ha un punteggio CVSS di 10,0 (massimo), classificata come critical. È stata pubblicata su NVD il 30 ottobre 2026. Non è segnalato exploit pubblico su repository GitHub. Su X si osservano 3 post nelle ultime 24 ore con discussioni sulla vulnerabilità, indicando una consapevolezza iniziale della comunità. Le patch sono disponibili da almeno la data di pubblicazione.
Gli amministratori devono aggiornare LXD alle versioni corrette (4.0.15, 5.0.11, 5.21.9, 6.10.1 o successive) con massima priorità. Prima dell'aggiornamento, è consigliabile verificare quale versione è installata nei cluster in produzione e pianificare una finestra di manutenzione. Se l'aggiornamento non è immediatamente possibile, valutare il vincolo di accesso al listener HTTPS del LXD a reti isolate e fidate, pur comprendendo che questa non è una mitigazione completa.
In sintesi
- Cosa
- Validazione impropria dei certificati HTTPS in Canonical LXD consente a attaccanti non autenticati di creare una catena certificata falsa per impersonare client trusted e accedere al cluster LXD e alle VM gestite.
- Gravità
- CVSS 10,0 (massimo) – critical. Accesso completo non autenticato al cluster LXD e alle macchine virtuali gestite.
- Versioni interessate
- LXD 4.0 fino a 4.0.14; 5.0 fino a 5.0.10; 5.21 fino a 5.21.8; 6.x fino a 6.9. Correzione: 4.0.15, 5.0.11, 5.21.9, 6.10.1 o successive.
- Correzione
- Aggiornare a versione 4.0.15, 5.0.11, 5.21.9, 6.10.1 o successiva a seconda della serie in uso. Aggiornamento con massima priorità.
- Stato
- Pubblicato su NVD il 2026-10-30. Patch disponibili. Segnalati 3 post su X nelle ultime 24 ore. Non è segnalato exploit pubblico su repository GitHub.
- Azione
- Inventariare cluster LXD in produzione. Applicare patch con priorità massima. Se aggiornamento non immediato possibile, vincolare accesso listener HTTPS a reti isolate e fidate (non mitigazione completa).
Fonti: NVD, CVE-2026-112816