„`html
Zusammenfassung
CVE-2026-63125 ist eine kritische Sicherheitslücke in Incus vor Version 7.3.0, die es unprivilegierten Benutzern ermöglicht, beliebigen Code mit Root-Privilegien auszuführen. Die Schwachstelle nutzt einen Symlink-Traversal-Angriff über manipulierte Container-Images aus.
Betroffene Systeme
Betroffen sind alle Incus-Versionen vor 7.3.0. Das Risiko existiert nur, wenn folgende Bedingungen erfĂĽllt sind:
- Unprivilegierte TLS/RBAC-Identitäten mit den Berechtigungen
can_create_imagesundcan_create_instances - Projekt-gebundene Benutzer ohne Admin-Rechte
- Aktive Instanz-Backup-Funktionalität
Technische Details
Die Schwachstelle basiert auf unzureichender Input-Validierung bei der Verarbeitung von Container-Images. Ein Angreifer kann eine manipulierte Image-Datei erstellen, die backup.yaml als Symlink zu einer beliebigen Host-Datei enthält.
Wenn der Root-Daemon die Backup-Datei einer Instanz schreibt, folgt er dem Symlink ohne Überprüfung. Dies ermöglicht:
- DateiĂĽberschreibung mit Root-Privilegien
- Arbitrary Code Execution durch Modifikation kritischer Systemdateien
- Vollständige Host-Kompromittierung
Der Angriffsvektor ist netzwerkbasiert, da Benutzer über TLS-Authentifizierung mit entsprechenden Berechtigungen Image-Operationen durchführen können.
Empfohlene Massnahmen
- Sofortiges Update: Upgrade auf Incus 7.3.0 oder höher durchführen
- Zugriffskontrolle: Beschränkung der Berechtigungen
can_create_imagesundcan_create_instancesfür untrusted Benutzer - Monitoring: Überwachung von Image-Upload-Aktivitäten und Backup-Operationen
- Segmentierung: Isolierung von Incus-Dämonen mit administrativen Grenzen
- Netzwerk-Härtung: Einschränkung des Zugangs zu Incus-API auf vertrauenswürdige Netzwerkbereiche
Bewertung
Mit einem CVSS-Score von 9.9 ist dies eine kritische Sicherheitslücke. Die Kombination aus unprivilegiertem Zugang und vollständiger Host-Kompromittierung macht ein sofortiges Update essentiell. Organisationen mit Incus-Deployments sollten Patches priorität behandeln.
„`