CVE-2026-32606

إصدارات IncusOS السابقة لـ 202603142010

يسمح التكوين الافتراضي لـ systemd-cryptenroll، كما يستخدمه IncusOS من خلال mkosi، للمهاجم الذي يتمتع بوصول مادي إلى الجهاز بالوصول إلى البيانات المشفرة دون الحاجة إلى تفاعل من مالك النظام أو العبث بـ Secure Boot أو صورة النواة. ويرجع ذلك إلى توفر مفتاح LUKS من TPM إذا كانت قيمة PCR7 متوقعة وكانت سياسة PCR11 متطابقة، مما يسمح بإطلاق المفتاح إلى النظام الذي تم تشغيله. يمكن للمهاجم استبدال قسم الجذر المشفر الأصلي بقسم آخر يخضع لسيطرته، مما يؤدي إلى طلب مفتاح الاسترداد الذي قام بتعريفه. يمكن بعد ذلك لوحدة systemd موجودة داخل قسم الجذر الخاص بالمهاجم استرداد مفتاح التشفير الخاص بقرص الجذر الحقيقي، مما يتيح سرقة البيانات أو تغييرها قبل إعادة النظام إلى حالته الأصلية. يمكن تنفيذ الهجوم حتى مع تمكين «التشغيل الآمن» (Secure Boot)، حيث يختار initrd القرص الجذري بناءً على معرّفات أقسام GPT. تؤثر هذه المشكلة على جميع مستخدمي IncusOS، لا سيما أولئك الموجودين في بيئات مادية غير آمنة. يتضمن الهجوم تغيير جدول أقسام GPT، وإنشاء قسم جديد مشفر بواسطة LUKS، واستخدام وحدة systemd لاستخراج المفتاح.

قم بالتحديث إلى إصدار IncusOS 202603142010 أو أحدث لتضمين منطق PCR15 الجديد وتحديث سياسة TPM تلقائيًا عند التشغيل. في حالة الاشتباه في وجود وصول مادي، قم بمسح النظام بالكامل وإعادة تثبيته لتبديل وحدة تخزين LUKS