„`html
Zusammenfassung
CVE-2026-55621 beschreibt eine kritische Autorisierungslücke in Incus vor Version 7.2.0. Die Schwachstelle ermöglicht es Angreifern, benutzerdefinierte Volumes aus Projekten zu kopieren, auf die sie keinen Zugriff haben. Dies könnte zur Offenlegung vertraulicher Daten führen.
Betroffene Systeme
Betroffen sind Incus-Installationen in Versionen vor 7.2.0. Das System dient als Container- und Virtual-Machine-Manager und wird in verschiedenen Infrastrukturumgebungen eingesetzt.
Technische Details
Die Schwachstelle liegt in der Zugriffskontrolle beim Kopieren benutzerdefinierter Volumes. Ein Angreifer benötigt:
- Den Namen eines Projekts, auf das er keinen Zugriff hat
- Den Namen eines Custom Volumes innerhalb dieses Projekts
Mit diesen Informationen kann der Angreifer das Volume in ein für ihn zugängliches Projekt kopieren. Dadurch wird der Zugriff auf vertrauliche Daten wie Secrets, Konfigurationen oder andere sensible Inhalte ermöglicht.
Der Angriffsvektor ist netzwerkbasiert, weshalb eine physische Nähe zum System nicht erforderlich ist. Der CVSS-Score von 7.7 klassifiziert dies als High-Severity-Vulnerability.
Empfohlene Massnahmen
- Sofortiges Update: Aktualisierung auf Incus Version 7.2.0 oder höher durchführen
- Zugriffskontrolle: Überprüfung bestehender Projektberechtigungen auf Inkonsistenzen
- Monitoring: Logs auf unautorisierte Volume-Kopieroperationen prüfen
- Segmentierung: Projekte mit kritischen Daten zusätzlich isolieren
Bewertung
Diese Vulnerability erfordert unverzügliches Handeln. Die fehlenden Autorisierungsprüfungen stellen ein erhebliches Datenschutzrisiko dar. Patch-Status: Verfügbar in Version 7.2.0.
„`