p PatchFirst

CVE-2026-47753

CVE-2026-47753 · Incus has a Nil-Pointer Dereference Panic via Instance Backup Import (volume omitted)

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

Incus is a system container and virtual machine manager. Prior to version 7.1.0, `(*backend).CreateInstanceFromBackup` in `internal/server/storage/backend.go` contains a nil-pointer dereference that an authenticated user with permission to create instances in any project can trigger remotely by uploading a crafted backup tarball. The Incus daemon panics and the process crashes, causing denial of service to every project on that cluster member. This is a sibling of `GHSA-fwj8-62r8-8p8m`, `GHSA-r7w7-mmxr-47r9`, and `GHSA-x5r6-jr56-89pv` (all assigned 2026-05-04). Those patches added guards on adjacent fields of the same `backup/config.Config` struct; the `Volume` field on the instance-import path was missed. Version 7.1.0 contains an updated patch.

CVSS 4.4 · Media · EPSS 0,2% · Corrección disponible

Publicación
Actualización

Pila tecnológica: system

Productos y versiones afectados

  • incus

    Versiones
    • < 7.1.0: Afectada

    Sin corrección publicada

  • incus Debian:14

    Versiones
    • 6.0.4-2
    • 6.0.4-3
    • 6.0.5-1
    • 6.0.5-2
    • 6.0.5-3
    • 6.0.5-4
    • 6.0.5-5
    • 6.0.5-6
    • 6.0.5-7
    • 6.0.5-8
    • 6.0.6-1
    • 6.0.6-2
    • 6.0.6-3
    • 6.14.0-1~exp1
    • 6.15.0-1~exp1
    • 6.16.0-1~exp1
    • 6.17.0-1~exp1
    • 6.20.0-1~exp1
    • 6.21.0-1~exp1
    • 6.22.0-1~exp1
    • 6.23.0-1~exp1
    • 7.0.0-1
    • 7.0.0-1~bpo13+1
    • 7.0.0-2~bpo13+1
    Intervalos de versiones afectados
    • ECOSYSTEM: < 7.0.0-2

    Actualiza a 7.0.0-2

  • incus Ubuntu:Pro:24.04:LTS

    Versiones
    • 0.4-1ubuntu1
    • 0.5.1-1
    • 0.5.1-3
    • 0.6-1
    • 6.0.0-1
    • 6.0.0-1ubuntu0.1
    • 6.0.0-1ubuntu0.2
    • 6.0.0-1ubuntu0.2+esm1
    • 6.0.0-1ubuntu0.3
    • 6.0.0-1ubuntu0.3+esm1
    • 6.0.0-1ubuntu0.3+esm2
    • 6.0.0-1ubuntu0.3+esm3
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • incus Ubuntu:25.10

    Versiones
    • 6.0.3-4
    • 6.0.4-2
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • incus Ubuntu:26.10

    Versiones
    • 6.0.5-8
    • 7.0.1-5
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • incus Ubuntu:Pro:26.04:LTS

    Versiones
    • 6.0.4-2
    • 6.0.5-8
    • 6.0.5-8ubuntu0.26.04.1~esm1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

Fuentes originales

Comprueba tu servidor →