CVE-2026-63297
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.9
- EPSS
- 0.3%
- CWE
- CWE-367
- KEV Durumu
- Hayır
Yayım tarihi: 12 Ağustos 2026
Etkilenen: canonical lxd
LXD'de yapılandırma birleştirmesi sırasında oluşan zamanlama hatası nedeniyle yetkilendirme atlatma zafiyeti, kimlik doğrulaması yapılmış bir saldırganın, çapraz proje örnek kopyaları sırasında hedef proje kısıtlamalarını atlamasına olanak tanır. Bir örneği hedef projeye kopyalarken, LXD yapılandırma birleştirmesi tamamlanmadan önce kısıtlama kontrollerini gerçekleştirir, bu da zamanında kontrol ile kullanımdaki zaman (TOCTOU) durumunu oluşturur. Bir saldırgan bu zafiyeti, yüksek ayrıcalıklı yapılandırmalara sahip örnekleri kısıtlı projelere kopyalayarak güvenlik kontrollerini atlamak için sömürebilir.
Orijinal açıklama (İngilizce)
An authorization bypass vulnerability in LXD due to a timing flaw during configuration merging allows an authenticated attacker to bypass target project restrictions during cross-project instance copies. When copying an instance to a target project, LXD performs restriction checks before configuration merging is complete, creating a time-of-check to time-of-use (TOCTOU) condition. An attacker can exploit this flaw to copy instances with disallowed high-privilege configurations into restricted projects, bypassing security controls.
Referanslar
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.