Incus与LXD高危漏洞：未认证攻击者可获取集群完整访问权限

原创

网络安全9527
网络安全9527

安全圈的那点事儿

2026年11月2日 14:19
江苏

去阅读

Incus以及Canonical公司的LXD中发现多项高危证书验证漏洞。未经过身份认证的攻击者可仿冒受信任身份，进而攻陷管理基础设施。

利用该漏洞只需能够访问HTTPS监听端口，无需有效账号凭证，也不需要受信任证书对应的私钥。该LXD漏洞可能导致整个集群及其管控的虚拟机全部遭到泄露。

Incus侧漏洞编号为GHSA‑xg75‑xf37‑cph9，CVSS最高风险评分达到10.0分。7.6.0版本之前所有版本均受影响。维护人员表示，该底层缺陷自软件首个版本发布起就一直存在。

该漏洞尚未分配CVE编号，漏洞类型归类为身份认证不当、证书校验缺陷。

证书链校验失效

根据Ubuntu发布的公告，该漏洞根源在于HTTPS监听服务对客户端证书的处理逻辑。TLS握手过程虽然会要求客户端提供证书，但不会完整校验传入的证书链。

握手只会验证客户端持有第一张证书对应的私钥，后续的证书完全由连接的客户端自行控制。

但身份认证逻辑却会把证书链里面的每一张证书和信任存储库做比对。攻击者可以把受信任身份的公钥证书追加到自己构造的证书链中，在不掌握对应私钥的情况下完成身份认证。

此前披露的Teleport身份认证绕过漏洞同样体现了身份校验失效带来的危害，不过二者漏洞原理并不相同。

服务器证书会在TLS握手过程中公开发送，这让漏洞利用变得十分容易。攻击者把目标服务器证书追加到恶意证书链，就可以获取数据库网关访问权限；提供集群其他节点证书，则能够获得集群内部全部访问权限，彻底绕过授权机制。只要可以拿到公钥，受信任客户端证书、监控指标证书都可以被攻击者仿冒。

该漏洞的危害不止于初始身份绕过。攻击者还可以滥用自助操作接口，对信任库内的条目执行更新、删除操作；主机到虚拟机代理的身份认证流程同样受影响。未经过校验的证书还会传递到授权脚本，即便使用令牌或者OpenID Connect登录的客户端，攻击者也可以通过篡改证书数据干预授权判断逻辑。

该授权风险和HashiCorp Consul授权绕过漏洞有相似之处。但Incus官方公告明确指出，本漏洞的攻击路径是由客户端可控的证书链，实现仿冒可信身份、篡改证书鉴权结果。

Canonical为LXD漏洞分配编号CVE‑2026‑112816，2026年10月30日对外公布。受影响版本：4.0.14、5.0.10、5.21.8、6.9；对应修复版本分别为4.0.15、5.0.11、5.21.9、6.10.1。公告说明，攻击者通过构造特殊证书链，无需认证即可访问集群和集群内虚拟机。

红帽Kubernetes集群代理漏洞同样展现了集群管理组件的安全风险，但该漏洞属于服务端请求伪造，并非证书链仿冒问题。

管理员操作建议：

将Incus升级至7.6.0或更新版本；LXD升级到对应的补丁版本。

完成升级之前，将HTTPS管理接口的访问来源限制为可信主机。

Incus维护者说明：不存在可完全修复该漏洞的配置层面临时方案；网络访问限制只能降低暴露风险，无法根除证书校验本身的缺陷。