PT-2026-133682
CVE-2026-112816
·
تاريخ النشر
2026-10-30
·
تاريخ التحديث
2026-11-01
الوصف من
CVSS 4.0
10
حرجةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المصاب والإصدارات المتأثرة
Canonical LXD الإصدارات 4.0.14 through 4.0.14
Canonical LXD الإصدارات 5.0.10 through 5.0.10
Canonical LXD الإصدارات 5.21.8 through 5.21.8
Canonical LXD الإصدارات 6.9 through 6.9
Canonical MicroCloud (الإصدارات المتأثرة غير محددة)
Description
يؤدي التحقق غير السليم من الشهادات في مستمع HTTPS إلى السماح لمهاجم عن بُعد غير مصرح له بانتحال صفة عميل موثوق به واكتساب وصول كامل إلى العنقود والأجهزة الافتراضية المدارة. تكمن المشكلة في أن واجهة برمجة تطبيقات HTTPS تتحقق بشكل خاطئ من كل شهادة في السلسلة المقدمة مقابل مخزن الثقة، بدلاً من التحقق فقط من الشهادة الورقية التي تثبت ملكية المفتاح الخاص. من خلال تقديم سلسلة شهادات مصممة تحتوي على الشهادة العامة لعميل موثوق به، يمكن للمهاجم المصادقة كذلك العميل دون امتلاك المفتاح الخاص المقابل. اعتماداً على صلاحيات العميل المنتحل، قد يؤدي ذلك إلى الحصول على صلاحيات root للجهاز المضيف. في بيئات MicroCloud، يمكن اعتراض الشهادات العامة أثناء انضمام عضو إلى العنقود.
Recommendations
تحديث Canonical LXD إلى الإصدار 4.0.15.
تحديث Canonical LXD إلى الإصدار 5.0.11.
تحديث Canonical LXD إلى الإصدار 5.21.9.
تحديث Canonical LXD إلى الإصدار 6.10.1.
تحديث Canonical MicroCloud إلى الإصدار 2.1.5.
تحديث Canonical MicroCloud إلى الإصدار 3.4.1.
تقييد إمكانية الوصول إلى واجهة برمجة تطبيقات الإدارة على الشبكات الموثوقة لتقليل مخاطر الاستغلال.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
رائج الآن · #10
32 المنشورات
98 إعادات النشر
77.2 ألف الجمهور
