„`html

CVE-2026-62867: Kritische Argument Injection in Incus

Zusammenfassung

Eine kritische Sicherheitslücke in Incus (System Container und Virtual Machine Manager) ermöglicht projektbezogenen Benutzern die Ausführung beliebiger Befehle mit root-Rechten. Die Schwachstelle resultiert aus unzureichender Validierung der Benutzereingabe im Parameter block.create_options bei der Speichervolumeonfiguration. Der CVSS-Score von 9.9 unterstreicht die kritische Natur dieser Vulnerability.

Betroffene Systeme

Incus-Versionen vor 7.3.0 sind anfällig. Die Schwachstelle betrifft alle Installationen, in denen projektbezogene Benutzer Speichervolumes erstellen oder konfigurieren können. Die Vulnerabilität ist netzwerkerreichbar und setzt minimale Privilegien voraus.

Technische Details

Die Sicherheitslücke liegt in der Verarbeitung des Parameters block.create_options. Incus konstruiert filesystem-Erstellungsbefehle, validiert aber Benutzereingaben unzureichend. Ein Angreifer kann Argument-Injection-Techniken nutzen, um arbiträre Befehle in die Befehlszeile einzufügen.

Angriffsablauf: Ein projektbezogener Benutzer injiziert speziell formatierte Argumente in die Storage-Volume-Konfiguration. Diese werden bei der Filesystem-Erstellung ohne Sanitization an das root-ausgeführte Binary weitergegeben. Dies ermöglicht Command Execution mit administrativen Rechten.

Empfohlene Massnahmen

• Sofort: Incus auf Version 7.3.0 oder höher aktualisieren
• Interim: Zugriff auf block.create_options für nicht-vertrauenswürdige Benutzer einschränken
• Monitoring: Logs auf verdächtige Storage-Volume-Konfigurationen prüfen
• Netzwerk: Incus-Verwaltungsschnittstellen segmentieren

Bewertung

Kritikalität: CRITICAL (CVSS 9.9)

Patch-Status: Verfügbar (Version 7.3.0+)

Diese Vulnerability erfordert sofortige Maßnahmen. Die Kombination aus Argument Injection, root-Execution und projektbezüglichem Zugriff macht sie zu einer kritischen Bedrohung für Incus-Infrastrukturen.

„`