„`html
Zusammenfassung
Die Sicherheitslücke CVE-2026-62941 betrifft Incus, einen System-Container und Virtual-Machine-Manager. Die Schwachstelle ermöglicht es authentifizierten Angreifern, Projektbeschränkungen zu umgehen und kritische Sicherheitsparameter in Container-Konfigurationen zu manipulieren. Der Kritikalitätsgrad ist CRITICAL mit einem CVSS-Wert von 9.9. Eine Patch wurde mit Version 7.3.0 veröffentlicht.
Betroffene Systeme
Betroffen sind alle Versionen von Incus vor 7.3.0. Das Schwachstellenpotential ist systemĂĽbergreifend relevant fĂĽr Installationen, die Multi-Projekt-Umgebungen mit Container-Isolation nutzen.
Technische Details
Die Vulnerability liegt in der Verarbeitungsreihenfolge bei der Instanzkopie zwischen Projekten. Der Validierungsmechanismus für Projektbeschränkungen (AllowInstanceCreation) wird ausgeführt, BEVOR die Quellinstanz-Konfiguration in die Anfrage integriert wird.
Kritische KonfigurationsschlĂĽssel werden nachgelagert zusammengefĂĽhrt:
security.privileged– Privilegierte Containerraw.lxc– Direkte LXC-Konfigurationraw.apparmor– AppArmor-Profilumgehung
Durch diese Reihenfolge passieren gefährliche Parameter die Sicherheitsprüfung des Zielprojekts und werden nachträglich appliziert, was Sandbox-Escapes und Host-Kompromittierung ermöglicht.
Empfohlene Massnahmen
Sofortmassnahmen: Aktualisierung auf Incus 7.3.0 oder höher ist zwingend erforderlich. Interim-Mitigation: Deaktivierung von projektübergreifenden Instanzkopien bis zum Patch verfügbar ist.
Zusätzliche Kontrollen: Implementierung von zusätzlichen RBAC-Policies und Audit-Logging für Konfigurationsänderungen. Netzwerk-Zugriff zu Incus-Management-Interfaces sollte eingeschränkt werden.
Bewertung
CVSS 9.9 (Critical) – Diese Lücke ermöglicht vollständige Umgehung von Sicherheitsrichtlinien in Multi-Tenant-Umgebungen. Das Angriffsrisiko ist erheblich, da authentifizierte Benutzer mit minimalen Privilegien Host-Level-Zugriff erhalten können. Eine unmittelbare Patch-Applikation ist erforderlich.
„`