p PatchFirst

CVE-2026-115375

CVE-2026-115375 · Incus 7.0.0 before 7.0.2 and 7.1.0 before 7.5.0 Path Traversal via Instance Backup Dependent Volumes

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

Incus 7.0.0 before 7.0.2 and 7.1.0 before 7.5.0 contains a path traversal vulnerability that allows clients able to create instances to write files on the host. The flaw stems from unvalidated dependent custom volume names in instance backup index.yaml files. Attackers can import a crafted instance backup with ../ sequences in dependent volume names to create root-owned directories with controlled content, leading to full host compromise.

CVSS 9.4 · Crítica · EPSS 0,4% · Corrección disponible

Publicación
Actualización

Pila tecnológica: system

Productos y versiones afectados

  • incus

    Versiones
    • ≥ 7.0.0, < 7.0.2: Afectada (semver)
    • 7.0.2: No afectada (semver)
    • ≥ 7.1.0, < 7.5.0: Afectada (semver)
    • 7.5.0: No afectada (semver)

    Actualiza a 7.0.2; Actualiza a 7.5.0

  • incus Debian:14

    Versiones
    • 6.0.4-2
    • 6.0.4-3
    • 6.0.5-1
    • 6.0.5-2
    • 6.0.5-3
    • 6.0.5-4
    • 6.0.5-5
    • 6.0.5-6
    • 6.0.5-7
    • 6.0.5-8
    • 6.0.6-1
    • 6.0.6-2
    • 6.0.6-3
    • 6.14.0-1~exp1
    • 6.15.0-1~exp1
    • 6.16.0-1~exp1
    • 6.17.0-1~exp1
    • 6.20.0-1~exp1
    • 6.21.0-1~exp1
    • 6.22.0-1~exp1
    • 6.23.0-1~exp1
    • 7.0.0-1
    • 7.0.0-1~bpo13+1
    • 7.0.0-2
    • 7.0.0-2~bpo13+1
    • 7.0.0-3
    • 7.0.0-4
    • 7.0.0-5
    • 7.0.0-5~bpo13+1
    • 7.0.1-1
    • 7.0.1-1~bpo13+1
    • 7.0.1-2
    • 7.0.1-2~bpo13+1
    • 7.0.1-3
    • 7.0.1-3~bpo13+1
    • 7.0.1-4
    • 7.0.1-5~bpo13+1
    Intervalos de versiones afectados
    • ECOSYSTEM: < 7.0.1-5

    Actualiza a 7.0.1-5

  • incus Ubuntu:Pro:24.04:LTS

    Versiones
    • 0.4-1ubuntu1
    • 0.5.1-1
    • 0.5.1-3
    • 0.6-1
    • 6.0.0-1
    • 6.0.0-1ubuntu0.1
    • 6.0.0-1ubuntu0.2
    • 6.0.0-1ubuntu0.2+esm1
    • 6.0.0-1ubuntu0.3
    • 6.0.0-1ubuntu0.3+esm1
    • 6.0.0-1ubuntu0.3+esm2
    • 6.0.0-1ubuntu0.3+esm3
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • incus Ubuntu:26.10

    Versiones
    • 6.0.5-8
    • 7.0.1-5
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • incus Ubuntu:Pro:26.04:LTS

    Versiones
    • 6.0.4-2
    • 6.0.5-8
    • 6.0.5-8ubuntu0.26.04.1~esm1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

Fuentes originales

Comprueba tu servidor →