CVE-2026-34177
CVE-2026-34177 · VM lowlevel restriction bypass via raw.apparmor and raw.qemu.conf
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
Canonical LXD versions 4.12 through 6.7 contain an incomplete denylist in isVMLowLevelOptionForbidden (lxd/project/limits/permissions.go), which omits raw.apparmor and raw.qemu.conf from the set of keys blocked under the restricted.virtual-machines.lowlevel=block project restriction. A remote attacker with can_edit permission on a VM instance in a restricted project can inject an AppArmor rule and a QEMU chardev configuration that bridges the LXD Unix socket into the guest VM, enabling privilege escalation to LXD cluster administrator and subsequently to host root.
CVSS 9.1 · Kritisch · EPSS 0,4% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Technologie-Stack: system
Betroffene Produkte und Versionen
lxd
- Softwareversionen
- ≥ 4.12.0, < 5.0.7: Betroffen (semver)
- ≥ 5.1.0, < 5.21.5: Betroffen (semver)
- ≥ 6.0.0, < 6.8.0: Betroffen (semver)
Auf 5.0.7 aktualisieren; Auf 5.21.5 aktualisieren; Auf 6.8.0 aktualisieren
incus Debian:13
- Betroffene Versionsbereiche
- ECOSYSTEM: < 6.0.2-1
Auf 6.0.2-1 aktualisieren
incus Debian:14
- Betroffene Versionsbereiche
- ECOSYSTEM: < 6.0.2-1
Auf 6.0.2-1 aktualisieren
lxd Debian:12
- Softwareversionen
- 5.0.2+git20231211.1364ae4-1
- 5.0.2+git20231211.1364ae4-2
- 5.0.2+git20231211.1364ae4-3
- 5.0.2+git20231211.1364ae4-4
- 5.0.2+git20231211.1364ae4-5
- 5.0.2+git20231211.1364ae4-6
- 5.0.2+git20231211.1364ae4-7
- 5.0.2+git20231211.1364ae4-8
- 5.0.2+git20231211.1364ae4-9
- 5.0.2-5
- 5.0.2-5+deb12u1
- 5.0.2-5+deb12u2
- 5.0.2-5+deb12u3
- 5.0.2-5+deb12u4
- 5.0.2-5+deb12u5
- 5.0.2-5+deb12u6
- 5.0.2-6
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
lxd Debian:13
- Softwareversionen
- 5.0.2+git20231211.1364ae4-9
- 5.0.2+git20231211.1364ae4-9+deb13u1
- 5.0.2+git20231211.1364ae4-9+deb13u2
- 5.0.2+git20231211.1364ae4-9+deb13u3
- 5.0.2+git20231211.1364ae4-9+deb13u4
- Betroffene Versionsbereiche
- ECOSYSTEM: < 5.0.2+git20231211.1364ae4-9+deb13u5
Auf 5.0.2+git20231211.1364ae4-9+deb13u5 aktualisieren
incus Ubuntu:Pro:24.04:LTS
- Softwareversionen
- 0.4-1ubuntu1
- 0.5.1-1
- 0.5.1-3
- 0.6-1
- 6.0.0-1
- 6.0.0-1ubuntu0.1
- 6.0.0-1ubuntu0.2
- 6.0.0-1ubuntu0.2+esm1
- 6.0.0-1ubuntu0.3
- 6.0.0-1ubuntu0.3+esm1
- 6.0.0-1ubuntu0.3+esm2
- 6.0.0-1ubuntu0.3+esm3
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht