- Yama var
- Son 7 gün
- CWE-295
CVE-2026-112816
Canonical LXD HTTPS dinleyicisinde sertifika doğrulama hatası
- Yayımlandı
- Güncellendi
- 31 Eki 2026
- Açık yaşı
- 2 gün
- Kaydı açan
- canonical
Yönetici özeti
Bu açık, yetkisiz bir saldırganın sunucu altyapınızın ve üzerinde çalışan sanal makinelerin tamamını ele geçirmesine olanak tanıyabilir. Etkilenen sürümlerin hemen güncellenmesi gerekir. Güncelleme yapılana kadar iş sürekliliği ve veri güvenliği açısından yüksek risk taşınmaktadır.
ÖzetTürkçe
LXD'nin HTTPS dinleyicisinde sertifika zinciri doğru doğrulanmıyor. Bu hata, 4.0.14, 5.0.10, 5.21.8 ve 6.9 sürümlerini (düzeltilmiş sürümler olan 4.0.15, 5.0.11, 5.21.9 ve 6.10.1 öncesi) etkiliyor. Etkilenen sürümler çalıştıran sunucular ve bu sunuculardaki kümeler risk altındadır.
Saldırgan ne yapabilir?
Saldırgan kimlik doğrulaması yapmadan güvenilir bir istemci gibi davranabilir ve kümenin tamamına ile yönetilen sanal makinelere tam erişim elde edebilir. Hazırlanmış bir sertifika zinciri bu saldırı için kullanılır.
Kaynaktaki açıklama (İngilizce)
Improper certificate validation in the HTTPS listener in Canonical LXD 4.0.14, 5.0.10, 5.21.8, 6.9 before 4.0.15, 5.0.11, 5.21.9, 6.10.1 allows an unauthenticated attacker to authenticate as any trusted client and gain full access to the cluster and managed virtual machines via a crafted certificate chain.
Ne yapmalı?
- LXD'yi etkilenen dallara göre düzeltilmiş sürüme yükseltin: 4.0.x için 4.0.15, 5.0.x için 5.0.11, 5.21.x için 5.21.9, 6.x için 6.10.1 veya üzeri. Üretici
- Güncelleme tamamlanana kadar LXD HTTPS dinleyicisine erişimi yalnızca güvenilen ağlarla sınırlandırın ve dış erişimi kısıtlayın. Genel öneri
- Güncellemeden sonra sistemin çalışan sürümünü doğrulayın ve kümedeki tüm düğümlerin güncellendiğinden emin olun. Genel öneri
Ek önlemler
- LXD API uç noktalarına gelen bağlantıları ve beklenmeyen istemci sertifikası kullanımını izleyin. Genel öneri
- Yönetim arayüzlerini genel internete açık bırakmayın; erişimi VPN veya yönetim ağı ile sınırlayın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Canonical LXD | ≥ 4.0.14, < 4.0.15 | 4.0.15 |
| ≥ 5.0.10, < 5.0.11 | 5.0.11 | |
| ≥ 5.21.8, < 5.21.9 | 5.21.9 | |
| ≥ 6.9.0, < 6.10.1 | 6.10.1 |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…al/lxd/security/advisories/GHSA-99jp-jwmc-65p4 Üretici bülteni
- discourse.ubuntu.com/…ty-found-in-canonical-lxd-and-microcloud/90557 Üretici bülteni
- discourse.ubuntu.com/t/lxd-6-10-1-lts-has-been-released/90024 Diğer
- discourse.ubuntu.com/t/lxd-5-21-9-lts-has-been-released/90565/1 Diğer
- discourse.ubuntu.com/t/lxd-5-0-11-lts-has-been-released/90570/1 Diğer
- discourse.ubuntu.com/t/lxd-4-0-15-lts-has-been-released/90571 Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.