- Yama var
- Son 7 gün
- CWE-284
CVE-2026-115376
Incus'ta özel birim kopyalama yoluyla proje kısıtlamasının aşılması
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Incus 7.0.1 (7.0.2 öncesi) ve 7.2.0 (7.5.0 öncesi) sürümlerinde, proje kısıtlamasına tabi istemcilerin source.type alanı atlanarak birimleri kopyalamasına izin veren bir yetkilendirme atlatma güvenlik açığı bulunmaktadır. Saldırganlar, kopyalanacak kaynak olarak seçtikleri bir source.project değeriyle özel birimler uç noktasına özel hazırlanmış POST istekleri göndererek diğer projelerin birimlerini, anlık görüntülerini ve yapılandırmalarını kopyalayıp okuyabilir.
Kaynaktaki açıklama (İngilizce)
Incus 7.0.1 before 7.0.2 and 7.2.0 before 7.5.0 contains an authorization bypass vulnerability that allows project-restricted clients to copy volumes by omitting source.type. Attackers can send crafted POST requests to the custom volumes endpoint with a chosen source.project to copy and read other projects' volumes, snapshots, and configuration.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| lxc incus | ≥ 7.0.1, < 7.0.2 | 7.0.2 |
| 7.0.2 Etkilenmiyor | – | |
| ≥ 7.2.0, < 7.5.0 | 7.5.0 | |
| 7.5.0 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.