CVE-2026-23953
Təsvir
Incus sistem konteyneri və virtual maşın meneceridir. 6.20.0 və daha aşağı versiyalarda, fərdi YAML konfiqurasiyası ilə konteyner başlatmaq imkanına malik olan istifadəçi (məsələn, 'incus' qrupunun üzvü), yeni sətir simvolları ehtiva edən mühit dəyişəni yarada bilər. Bu, yeni sətir inyeksiyası vasitəsilə konteynerin lxc.conf faylına əlavə konfiqurasiya elementlərinin əlavə edilməsinə səbəb ola bilər. Bu, ixtiyari həyat dövrü hook-larının (lifecycle hooks) əlavə edilməsinə və nəticədə hostda ixtiyari əmrlərin icrasına imkan verir. Bu problemin IncusOS-da istismarı üçün payload-un yoxlama mərhələsi zamanı fərqli yazıla bilən kataloga (məsələn, /tmp) dəyişdirilməsi üçün kiçik bir modifikasiyası tələb olunur. Bu, hostdan /tmp kataloqunun mount edildiyi ikinci bir konteynerlə təsdiqlənə bilər (yalniz yoxlama üçün imtiyazlı hərəkət). Düzəliş 6.0.6 və 6.21.0 versiyaları üçün planlaşdırılıb, lakin nəşr edildiyi vaxta qədər onlar buraxılmayıb.
Necə düzəltmək olar
- linuxcontainers incus6.21.0 və ya daha yeni versiya
- github.com/lxc/incus/v66.21.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| linuxcontainers incus | v ≤ 6.0.5, 6.1.0 ≤ v < 6.21.0 | 6.21.0 |
| github.com/lxc/incus/v6Go | v < 6.21.0, 6.1.0 ≤ v | 6.21.0 |
| github.com/lxc/incusGo | Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.