کمیته رکن چهارم– Canonical نقصی بحرانی در LXD و MicroCloud را اصلاح کرده که می‌تواند به مهاجم اجازه دهد بدون داشتن کلید خصوصی کاربر، با هویت یک کاربر مورد اعتماد وارد سامانه شود و به ماشین‌های مجازی دسترسی پیدا کند.
به گزارش کمیته رکن چهارم، این نقص با شناسه CVE-2026-112816 در اطلاعیه ۲۸ اکتبر ۲۰۲۶ تشریح شده و نسخه‌های اصلاحی ۲۹ اکتبر عرضه شده‌اند. گزارش اول نوامبر The Hacker News بر ضرورت کنترل نسخه نصب‌شده تأکید دارد.
LXD برای مدیریت محیط‌های مجازی و MicroCloud برای ساخت خوشه‌ای از سرورها استفاده می‌شوند. اشکال در بررسی گواهی هویت اتصال است: سامانه می‌توانست یک گواهی عمومی مورد اعتماد را بپذیرد، بدون آنکه مالکیت کلید خصوصی متناظر را درست بررسی کند.
سوءاستفاده به دسترسی شبکه‌ای به رابط HTTPS و گواهی عمومی یک کاربر مورد اعتماد نیاز دارد. میزان دسترسی مهاجم به اختیار همان کاربر بستگی دارد و در حالت دسترسی مدیریتی ممکن است به کنترل کامل میزبان برسد. رابط شبکه‌ای LXD مستقل، به‌صورت پیش‌فرض فعال نیست.
توصیه رسمی، نصب نسخه اصلاح‌شده همان شاخه است: LXD نسخه‌های ۶.۱۰.۱، ۵.۲۱.۹، ۵.۰.۱۱ یا ۴.۰.۱۵ و MicroCloud نسخه‌های ۳.۴.۱ یا ۲.۱.۵. پس از به‌روزرسانی، نسخه واقعی نصب‌شده بررسی شود؛ عرضه تدریجی ممکن است باعث تأخیر در دریافت شود.
توصیه تحریریه: تا تکمیل به‌روزرسانی، دسترسی شبکه‌ای به رابط مدیریتی را به سامانه‌های ضروری محدود کنید. در منابع بررسی‌شده، بهره‌برداری فعال از این نقص تأیید نشده است.
منبع: Canonical
