Canonical heeft een kritieke kwetsbaarheid gedicht in LXD en MicroCloud waarmee een aanvaller kon inloggen als een vertrouwde client, zonder de bijbehorende privésleutel te bezitten. De fout, CVE-2026-112816, kreeg de maximale CVSS-score van 10,0. Het NCSC bevestigde het lek op 2 november in een eigen advisory, NCSC-2026-0464.
LXD en MicroCloud gebruiken mutual TLS om clients te identificeren: een client toont een certificaat, en wie met dat certificaat in de trust store van de server staat, wordt vertrouwd. Het probleem zat in hoe de HTTPS-API die controle uitvoerde. De server toetste niet alleen het leaf-certificaat, het certificaat dat via TLS daadwerkelijk aan een private key gekoppeld is, maar ook de rest van de certificaatketen die de client meestuurt. Die extra certificaten kan een client echter vrij verzinnen. Een aanvaller had daarom alleen het publieke certificaat van een vertrouwde client nodig, geen geheim gegeven, om dat achter zijn eigen keten te plakken en zo door de server als die client geaccepteerd te worden.
Voor misbruik moet een aanvaller wel bij de HTTPS-API van het cluster kunnen. Een losse LXD-server zet die API niet standaard open: zonder dat een beheerder core.https_address instelt, luistert LXD alleen op een lokale socket. Bij MicroCloud ligt dat anders. Wie het publieke certificaat van een clusterlid onderschept op het moment dat dat lid zich bij het cluster aansluit, kan zich vervolgens als dat lid aanmelden. Gaat het om een account met beheerrechten, dan kan een aanvaller volgens Canonical root-toegang krijgen tot de onderliggende hostmachine, en daarmee tot het hele cluster en de virtuele machines die erop draaien.
Het Incus-project, een community-fork van LXD, meldde de kwetsbaarheid via GitHub-advisory GHSA-xg75-xf37-cph9, waarna Canonical bevestigde dat LXD zelf hetzelfde probleem heeft. Er is geen publiek werkende exploit bekend en CISA liet op 30 oktober weten geen aanwijzingen te hebben voor actief misbruik. De kwetsbaarheid staat niet op de Known Exploited Vulnerabilities-lijst.
Canonical rolde de fix uit via de snap-kanalen: LXD 4.0.15, 5.0.11, 5.21.9 en 6.10.1, en MicroCloud 2.1.5 en 3.4.1. Incus-gebruikers moeten naar versie 7.6.0. Archiefpakketten van LXD binnen Ubuntu zelf zijn niet getroffen, de fix zit alleen in de snaps.
Gebruikt u LXD of MicroCloud via snap, werk dan nu bij met sudo snap refresh lxd en sudo snap refresh microcloud en controleer na de update de daadwerkelijke versie. Canonical rolde de puntreleases op het moment van de advisory nog uit van het candidate- naar het stable-kanaal, dus een refresh pakt niet overal meteen de laatste fix. Canonical biedt voor LXD geen tijdelijke workaround; wie nog niet kan updaten, beperkt in de tussentijd de netwerktoegang tot de API. Voor Incus geldt hetzelfde: zonder update is het afschermen van de listener de enige maatregel.
Bron: The Hacker News, NCSC-NL Advisories
Wat betekent dit voor jouw bedrijf?
Draait u LXD of MicroCloud via snap met de HTTPS-API open op het netwerk, update dan nu naar de gepatchte versie en beperk tot die tijd de netwerktoegang tot de API. Alleen een lokale, niet-netwerkbereikbare installatie loopt geen risico.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.