CVE-2026-28384

Kritik

Açıklama

Canonical LXD'deki compression_algorithm parametresinin uygun şekilde temizlenmemesi, kimliği doğrulanmış ve yetkisiz bir kullanıcının, image ve backup uç noktalarına yapılan API çağrıları aracılığıyla LXD sunucusunda LXD daemon olarak komut çalıştırmasına olanak tanır. Bu sorun, 4.12 ile 6.6 arasındaki LXD sürümlerini etkilemiş olup; snap sürümleri 5.0.6-e49d9f4 (kanal 5.0/stable), 5.21.4-1374f39 (kanal 5.21/stable) ve 6.7-1f11451 (kanal 6.0 stable) ile düzeltilmiştir. Kanal 4.0/stable, sürüm 4.0.10'u içerdiği için bu durumdan etkilenmemektedir.

ÖnemKritik

CVSS9.9

İstismar olasılığı—

ÜrünCanonical Lxd

Yayın12 Mar 2026

İlk görülme12 Mar 2026

Zayıflık türüCWE-78İşletim sistemi komut enjeksiyonu

Nasıl düzeltilir

Güncelleyin

canonical lxd5.0.6, 5.21.4, 6.7 ya da sonraki bir sürüm

Yamalar

Üretici duyuruları

github.com/canonical/lxd/security/advisories/GHSA-4rmf-rcp8-2r9g

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
canonical lxd	4.12 ≤ v < 5.0.6, 5.21.0 ≤ v < 5.21.4, 6.0 ≤ v < 6.7	5.0.6, 5.21.4, 6.7

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.