Canonical heeft een kritieke kwetsbaarheid in LXD en MicroCloud gedicht. Het lek, geregistreerd als CVE-2026-112816, zat in de HTTPS‑API en maakte misbruik mogelijk van clientcertificaten. De fixes zijn uitgebracht op 29 oktober 2026 in LXD 4.0.15, 5.0.11, 5.21.9 en 6.10.1 en in MicroCloud 2.1.5 en 3.4.1. De kwetsbaarheid is beoordeeld met CVSS 4.0-score 10.0 (Critical). (discourse.ubuntu.com)

Wat er misging
Bij wederzijdse TLS-verificatie (mTLS) controleerde LXD alle certificaten die een client meestuurt in de keten tegen de trust store. Alleen het leaf‑certificaat is echter cryptografisch gekoppeld aan de private key die in de handshake wordt bewezen. Door een zorgvuldig opgebouwde keten kon een aanvaller daardoor worden geaccepteerd als een vertrouwde client, zónder de private key van die client te bezitten. In MicroCloud kon dit bovendien worden misbruikt tijdens het toevoegen van clusterleden. Het issue werd door de Incus‑community onder de aandacht gebracht en door Canonical bevestigd en verholpen. (discourse.ubuntu.com)

Impact
Een niet‑geauthenticeerde aanvaller die de LXD‑HTTPS‑API kan bereiken en beschikt over het publieke certificaat van een vertrouwde client, kan zich voordoen als die client. Daarmee krijgt hij toegang tot de LXD‑cluster en beheerde VM’s met de rechten van de geïmiteerde identiteit. Heeft die identiteit adminrechten, dan is uiteindelijk root‑toegang tot de host mogelijk. (tenable.com)

Wie loopt risico?

• Omgevingen waarin de LXD‑API via het netwerk bereikbaar is (standaard luistert LXD op 8443 zodra je core.https_address instelt). Lokaal gebruik via de UNIX‑socket is niet kwetsbaar voor dit specifieke pad. (canonical.com)
• Installaties die authenticeren met TLS‑clientcertificaten: dat is de standaardmanier om op afstand bij LXD in te loggen. (canonical.com)

Wat je nu moet doen

• Update direct naar een gefixte release.
  • LXD (snap): sudo snap refresh lxd
  • MicroCloud (snap): sudo snap refresh microcloud
  • Controleer daarna de versie: lxd –version of lxc version en verifieer dat je minimaal LXD 4.0.15, 5.0.11, 5.21.9 of 6.10.1 draait; voor MicroCloud 2.1.5 of 3.4.1. Houd er rekening mee dat Canonical de updates gefaseerd heeft uitgerold; verifieer dus expliciet de geïnstalleerde revisie. (discourse.ubuntu.com)
• Beperk tot de update wie de API kan bereiken:
  • Bind de API alleen op een beheernetwerk en sluit 8443 af voor het internet met host‑ en netwerkfirewalls. (canonical.com)
• Ruim de trust store op:
  • Verwijder ongebruikte of onbekende clientcertificaten met lxc config trust list en lxc config trust remove . (canonical.com)

Achtergrond: zo werkt LXD‑authenticatie
LXD biedt een REST‑API over HTTPS. Bij TLS‑clientcertificaten houdt de server een trust store bij van toegelaten clientcertificaten. Een client toont tijdens de handshake een keten en bewijst alleen eigenaarschap van de sleutel van het leaf‑certificaat; tussenliggende certificaten dienen enkel om padvalidatie te helpen. Het lek zat precies in die interpretatie: certificaten die niet aan een bewezen sleutel vastzaten werden ten onrechte als identiteit geaccepteerd. (canonical.com)

Waarom dit serieus is

• Drempel laag: publieke certificaten circuleren vaak breder dan gedacht (bijv. omdat ze zichtbaar zijn bij verbindingen of via beheerinterfaces). In combinatie met netwerktoegang naar de API is imitatie dan haalbaar. (labs.cloudsecurityalliance.org)
• Grote impact: in veel omgevingen gelden LXD‑rechten praktisch als beheerrechten over VM’s en containers, inclusief het koppelen van host‑devices en aanpassen van profielen. (labs.cloudsecurityalliance.org)

Praktische controles na de patch

• Controleer of alle clusterleden en beheernodes op de gefixte versies draaien.
• Herzie toegangsbeleid: gebruik een gescheiden beheernetwerk en minimaliseer welke hosts bij de API mogen.
• Voer periodieke audits van de trust store uit (ongebruikte certificaten verwijderen, CA‑CRL toepassen in PKI‑opzet). (lxd.openml.io)

Tijdlijn en beschikbaarheid
Canonical publiceerde het security‑advies op 28 oktober 2026 en bracht op 29 oktober 2026 updates uit voor alle ondersteunde LXD‑releasebranches en MicroCloud‑kanalen. De CVE‑vermelding noteert CVSS v3.1 9.8 en CVSS v4.0 10.0. (discourse.ubuntu.com)

Samengevat

• Kritiek authenticatielek in LXD/MicroCloud via onjuiste validatie van certificaatketens.
• Opgelost in LXD 4.0.15, 5.0.11, 5.21.9, 6.10.1; MicroCloud 2.1.5/3.4.1.
• Update onmiddellijk; beperk API‑bereik; ruim vertrouwde certificaten op. (discourse.ubuntu.com)

Bronnen: Canonical’s security‑advies en documentatie, CVE‑vermelding met CVSS‑scores, en een technische analyse van de fout in de mTLS‑ketenverificatie. (discourse.ubuntu.com)

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.