Më 6 nëntor 2026, GitHub publikoi këshillën e sigurisë GHSA-pjff-c2wc-f6jm për një dobësi me rrezikshmëri kritike (CVSS 9.9) në paketën github.com/canonical/lxd të ekosistemit Go.
Paketat e prekura
- github.com/canonical/lxd (Go) — versionet e prekura:
< 0.0.0-20260630083100-c5184be310b1; versioni me rregullim:0.0.0-20260630083100-c5184be310b1
Detaje
- Rrezikshmëria: Kritike (CVSS 9.9)
- CWE: CWE-20 (Improper Input Validation)
- Identifikuesit: GHSA-pjff-c2wc-f6jm
Përmbledhja zyrtare (në anglisht)
LXD has arbitrary file write on client due to trusted image hash — Reported from https://github.com/lxc/incus/security/advisories/GHSA-f6m5-xw2g-xc4x Summary An arbitrary file write exists in the Incus client when a malicious image server returns a crafted Incus-Image-Hash header. This can lead to arbitrary command execution as root on the server. Details – cmd/incusd/images.go:611-684 handles source.type=url by HEADing the user-supplied URL, reading Incus-Image-Hash and Incus-Image-URL , and passing them to imageDownload() as Alias and Server . – cmd/incusd/daemon_images.go:91-92 defaults fp to the caller-controlled alias string. – cmd/incusd/daemon_images.go:333-335 builds destName := filepath.Join(destDir, fp) . – cmd/incusd/daemon_images.go:469-523 enters…
Çfarë duhet të bëni
Nëse projektet tuaja përdorin github.com/canonical/lxd, përditësojeni sa më shpejt në versionin 0.0.0-20260630083100-c5184be310b1 ose më të ri.
