PT-2025-40332
CVE-2025-54289
·
تاريخ النشر
2025-10-02
·
تاريخ التحديث
2026-10-23
الوصف من
CVSS 3.1
8.1
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Canonical LXD الأقدم من 6.5
إصدارات Canonical LXD من 5.21 حتى 5.21.4
الوصف
توجد ثغرة أمنية تتعلق بتصعيد الصلاحيات في واجهة برمجة تطبيقات (API) العمليات الخاصة بـ Canonical LXD. يمكن للمهاجم الذي يمتلك أذونات قراءة اختطاف جلسات المحطة الطرفية أو وحدة التحكم وتنفيذ أوامر تعسفية. ويتم تحقيق ذلك من خلال استغلال تنسيق اختطاف اتصال WebSocket، باستخدام قيم سرية تم الحصول عليها من واجهة برمجة التطبيقات (API) الخاصة بالعمليات. ويحتاج المهاجم إلى الحصول على القيم السرية المستخدمة لاتصالات WebSocket عند استرداد معلومات حول العمليات الجارية. تتطلب الهجمات الناجحة توقيتًا محددًا، حيث يستولي المهاجم على اتصال WebSocket بينما يكون لدى الضحية التي تتمتع بامتيازات أعلى جلسة عمل نشطة على المحطة الطرفية أو وحدة التحكم. يُعتبر الخطر منخفضًا نسبيًا نظرًا لمتطلبات التوقيت الحرجة. تم حل المشكلة عن طريق حذف المعلومات السرية الخاصة باتصال WebSocket من ردود واجهة برمجة التطبيقات (API) الخاصة بالعمليات للمستخدمين الذين لديهم صلاحيات القراءة فقط.
التوصيات
قم بالتحديث إلى الإصدار 6.5 أو أحدث من LXD.
قم بالتحديث إلى الإصدار 5.21.4 أو أحدث من LXD.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾