CVE-2026-63294

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.9
EPSS: 0.9%
CWE: CWE-59
KEV Durumu: Hayır

Yayım tarihi: 12 Ağustos 2026

Etkilenen: canonical lxd

LXD'de bir bağlantı izleme zafiyeti, bir saldırganın konak sistemde kök komut yürütmesini gerçekleştirmesine olanak tanır. Oluşturulmuş görüntü veya yedek arşivlerinin ithalatı veya açılması sırasında, LXD, backup.yaml dosyası bir sembolik bağlantı olarak var olduğunda bunu düzgün bir şekilde doğrulamayı ve sınırlamayı başaramaz. Bir saldırgan, bu açığı, symlinked bir backup.yaml dosyasıyla kötü amaçlı bir arşiv sağlayarak ve LXD'nin sınırsız yapılandırma meta verilerini işleme koyulmasını ve keyfi komutları kök ayrıcalıklarıyla çalıştırmasını sağlayarak sömürebilir.

Orijinal açıklama (İngilizce)

A link following vulnerability in LXD allows an attacker to achieve root command execution on the host system. During the import or unpacking of crafted image or backup archives, LXD fails to properly validate and confine the backup.yaml file when it exists as a symbolic link. An attacker can exploit this flaw by providing a malicious archive with a symlinked backup.yaml file, causing LXD to process unconfined configuration metadata and execute arbitrary commands with root privileges.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.