Canonical alerte les administrateurs de serveurs sur une vulnérabilité critique affectant LXD et MicroCloud. Répertoriée sous l’identifiant CVE-2026-112816, elle concerne la logique d’authentification de l’API HTTPS et peut permettre à un attaquant distant de se faire passer pour un client TLS de confiance.
Le problème touche les environnements où l’API LXD est accessible par un attaquant. Selon l’avis de sécurité, la validation des chaînes de certificats clients pouvait comparer tous les certificats présentés par un client avec les entrées connues du magasin de confiance. Or, seul le certificat final, ou certificat feuille, prouve la possession de la clé de signature. Un attaquant pouvait ainsi placer un certificat public de client de confiance comme certificat intermédiaire dans une chaîne conçue pour contourner l’authentification.
Les conséquences peuvent être particulièrement sérieuses pour les infrastructures de virtualisation et de conteneurs. L’attaquant pourrait obtenir l’accès au démon LXD ou MicroCloud en usurpant une autre identité. En fonction des privilèges associés au client visé, cela peut aller jusqu’à un accès root à l’hôte. La base GitHub Advisory Database classe la faille comme critique, avec un score CVSS de 10,0 sur 10, et évoque également un accès complet au cluster ainsi qu’aux machines virtuelles gérées.
Les versions LXD corrigées sont 4.0.15, 5.0.11, 5.21.9 et 6.10.1, publiées le 29 octobre 2026 dans leurs canaux respectifs. Côté MicroCloud, Canonical a publié 2.1.5 et 3.4.1 à la même date. L’avis CVE a été publié dans la base GitHub le 30 octobre 2026.
La recommandation est claire : mettre à jour immédiatement LXD et MicroCloud avec les dernières versions disponibles dans chaque canal Snap, notamment via sudo snap refresh lxd et sudo snap refresh microcloud. Les équipes DevOps doivent aussi vérifier les versions réellement déployées sur chaque nœud, car les versions ponctuelles de LXD étaient en cours de déploiement progressif du canal candidate vers stable. Les API exposées et les certificats de confiance existants méritent une vérification prioritaire.
