CVE-2026-63343

Nome do Software Vulnerável e Versões Afetadas Incus versões anteriores a 7.3.0

Description Um usuário autenticado pode ler ou sobrescrever qualquer arquivo no sistema host com privilégios de root utilizando uma imagem maliciosa. Isso é possível porque a API de metadados da instância não lida adequadamente com um link simbólico metadata.yaml que aponta para um caminho arbitrário no host. Embora atualizações anteriores tenham corrigido problemas semelhantes nos caminhos exec-output e templates/ usando rejeição Lstat e confinamento os.OpenRoot, o arquivo metadata.yaml permaneceu desprotegido.

Recommendations Atualize para a versão 7.3.0.