Stgraber

Existe um problema de gravação arbitrária de arquivos onde fontes de migração maliciosas podem gravar arquivos no sistema hospedeiro ao plantar links simbólicos (symlinks) em volumes transferidos. Atacantes podem criar fluxos de recebimento rsync ou btrfs com um link simbólico, como `rootfs`, que aponta para a raiz do hospedeiro, permitindo a gravação de arquivos como root e o comprometimento total do hospedeiro.

Um problema de gravação arbitrária de arquivos existe na função `sftpRecursivePullFile()`. Um incus-agent malicioso pode escapar do diretório de destino durante uma operação `incus file pull -r`. Um invasor com privilégios de root em uma máquina virtual pode manipular o processo retornando entradas duplicadas, relatando-as primeiro como links simbólicos e, posteriormente, como arquivos ou diretórios. Isso permite que o invasor grave arquivos controlados, como `/etc/shadow`, diretamente no sistema host do operador.

Uma falha de bypass de restrição permite que usuários de projetos restritos utilizem a migração em modo pull via solicitações de atualização clusterizada. Um invasor com direitos de criação de instâncias pode enviar uma solicitação de migração de atualização para uma instância existente, fazendo com que o servidor abra conexões websocket TLS de saída para sondar serviços acessíveis.

Um problema de autorização inadequada permite que clientes TLS restritos leiam chaves de buckets de armazenamento no projeto padrão. Ao consultar os endpoints de chaves de bucket, invasores podem obter chaves de acesso e chaves secretas do S3, permitindo a leitura, modificação ou exclusão de objetos nesses buckets.

Existe uma falha de bypass de restrição de projeto que permite que usuários de projeto restritos definam `block.create options` durante operações de atualização, cópia e movimentação de volumes. Um invasor pode aplicar essa opção a um volume personalizado e iniciar uma cópia ou movimentação para um pool de formatação, permitindo a injeção de argumentos na função `mkfs` executada com privilégios de root.

Uma falha de autorização existe no endpoint 'GET /1.0/operations/{uuid}'. Isso permite que clientes restritos a um projeto específico acessem detalhes de operações de outros projetos. Um invasor com um certificado restrito e um `uuid` conhecido pode recuperar informações sensíveis, incluindo linhas de comando, segredos de ambiente, segredos de websocket e tokens de inscrição de confiança.

Uma falha de verificação de assinatura existe no servidor S3 integrado. Este problema permite que detentores de URLs pré-assinadas injetem cabeçalhos `x-amz-*` não assinados. Especificamente, um invasor pode adicionar um cabeçalho `X-Amz-Copy-Source` não assinado a uma URL de upload pré-assinada para copiar outros objetos do bucket para a chave concedida, resultando na divulgação de seus conteúdos e ETags (Entity Tags, que são identificadores únicos para uma versão específica de um recurso).

Um problema de path traversal existe onde clientes com permissões para criar instâncias podem gravar arquivos no sistema hospedeiro. Isso ocorre devido a nomes de volumes personalizados dependentes não validados nos arquivos `index.yaml` de backup de instância. Um invasor pode importar um backup de instância especialmente criado contendo sequências `../` nos nomes dos volumes dependentes para criar diretórios pertencentes ao root com conteúdo controlado, o que pode levar ao comprometimento total do hospedeiro.

Uma falha de bypass de autorização permite que clientes restritos a projetos copiem volumes ao omitir a variável `source.type`. Atacantes podem enviar requisições POST manipuladas para o endpoint de volumes personalizados usando um `source.project` específico para copiar e ler volumes, snapshots e configurações de outros projetos.

The default configuration of systemd-cryptenroll, as used by IncusOS through mkosi, allows an attacker with physical access to the machine to access encrypted data without requiring interaction from the system owner or tampering with Secure Boot or the kernel image. This is due to the LUKS key being available from the TPM if the PCR7 value is expected and the PCR11 policy matches, allowing the key to be released to the booted system. An attacker can substitute the original encrypted root partition with one they control, prompting for a recovery key which they have defined. A systemd unit within the attacker's root partition can then retrieve the encryption key of the real root disk, enabling data theft or alteration before returning the system to its original state. The attack is possible even with Secure Boot enabled, as the initrd selects the root disk based on GPT partition identifiers. The issue impacts all IncusOS users, particularly those in unsecured physical environments. The attack involves altering the GPT partition table, creating a new LUKS encrypted partition, and using a systemd unit to extract the key.

An issue in AppArmor allows an attacker to possibly have increased attack surfaces of processes that were intended to be confined by AppArmor. This is due to incorrect handling of unknown AppArmor profiles in AppArmor init scripts, upstart jobs, and/or systemd unit files. The common logic to handle 'restart' operations removes AppArmor profiles that aren't found in the typical filesystem locations, such as /etc/apparmor.d/. Userspace projects that manage their own AppArmor profiles in atypical directories are affected by this flaw.

The issue is related to insufficient access control to files in the Ubuntu operating system, specifically in the lxd package. It allows a local attacker to gain privileges through unspecified vectors due to world-readable permissions for /var/lib/lxd/unix.socket.