CVE-2026-34177

Kritik

Açıklama

Canonical LXD 4.12 ile 6.7 arasındaki sürümler, isVMLowLevelOptionForbidden (lxd/project/limits/permissions.go) içinde eksik bir reddetme listesi barındırır; bu liste, restricted.virtual-machines.lowlevel=block proje kısıtlaması altında engellenen anahtarlar kümesinden raw.apparmor ve raw.qemu.conf öğelerini dışarıda bırakır. Kısıtlı bir projede bir VM örneği üzerinde can_edit iznine sahip uzak bir saldırgan, LXD Unix soketini konuk VM'e köprüleyen bir AppArmor kuralı ve bir QEMU chardev yapılandırması enjekte edebilir; bu da LXD küme yöneticisine ve ardından ana makine root yetkisine yükseltmeyi mümkün kılar.

ÖnemKritik

CVSS9.1

İstismar olasılığı—

ÜrünCanonical Lxd

Yayın9 Nis 2026

İlk görülme9 Nis 2026

Zayıflık türüCWE-184CWE-184

Nasıl düzeltilir

Yamalar

github.com/canonical/lxd/pull/17909

Üretici duyuruları

github.com/canonical/lxd/security/advisories/GHSA-fm2x-c5qw-4h6f

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
canonical lxd	4.12 ≤ v ≤ 5.0.6, 5.21.0 ≤ v ≤ 5.21.4, 6.0 ≤ v ≤ 6.7	—
github.com/canonical/lxdGo	0.0.0-20210305023314-538ac3df036e ≤ v ≤ 0.0.0-20260226085519-736f34afb267, 0.0.0-20210305023314-538ac3df036e ≤ v	—

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.