Më 6 nëntor 2026, GitHub publikoi këshillën e sigurisë GHSA-jpf8-86f3-wp38 për një dobësi me rrezikshmëri kritike (CVSS 9.9) në paketën github.com/canonical/lxd të ekosistemit Go.
Paketat e prekura
- github.com/canonical/lxd (Go) — versionet e prekura:
< 0.0.0-20260203144152-d1c8ba15d160; versioni me rregullim:0.0.0-20260203144152-d1c8ba15d160
Detaje
- Rrezikshmëria: Kritike (CVSS 9.9)
- CWE: CWE-73 (External Control of File Name or Path)
- Identifikuesit: GHSA-jpf8-86f3-wp38
Përmbledhja zyrtare (në anglisht)
LXD has arbitrary file read+write on host via templates/ symlink in malicious image — Reported from https://github.com/lxc/incus/security/advisories/GHSA-vxp5-584q-c479 Summary A specially crafted image can be used to read or create/write arbitrary files on the host; possibly leading to arbitrary command execution. Details For container images, internal/server/storage/utils.go calls archive.Unpack(imageFile, destPath, …) . The tar extraction path in shared/archive/archive.go excludes device nodes, but it does not reject a top-level templates symlink. In practice, this allows a malicious actor to access an arbitrary directory and edit arbitrary files in it. PoC Below, we map the templates directory to…
Çfarë duhet të bëni
Nëse projektet tuaja përdorin github.com/canonical/lxd, përditësojeni sa më shpejt në versionin 0.0.0-20260203144152-d1c8ba15d160 ose më të ri.
