ช่องโหว่ระดับ 10 เต็ม 10 ใน LXD และ MicroCloud ของ Canonical ผู้ดูแลเซิร์ฟเวอร์ควรอัปเดต
CVE-2026-112816 ทำให้คนที่เข้าถึง HTTPS API ของ LXD/MicroCloud ได้ ปลอมตัวเป็นเครื่องที่ได้รับความไว้ใจโดยไม่ต้องมีกุญแจลับ อาจได้สิทธิ์ root Canonical ออกแพตช์แล้ว
LXD เป็นระบบจัดการคอนเทนเนอร์และเครื่องเสมือนที่ใช้กันมากบน Ubuntu ส่วน MicroCloud ใช้สร้างคลัสเตอร์ขนาดเล็ก ทั้งสองยืนยันตัวตนเครื่องลูกข่ายด้วยใบรับรองแบบ mutual TLS ปัญหาคือระบบเอาใบรับรองทุกใบในชุดที่ลูกข่ายส่งมาไปเทียบกับรายชื่อที่ไว้ใจ แทนที่จะเช็กเฉพาะใบแรกสุดซึ่งเป็นใบเดียวที่พิสูจน์ได้ว่าถือกุญแจลับจริง ผู้โจมตีจึงแนบใบรับรองสาธารณะของเครื่องที่ได้รับความไว้ใจเข้าไปกลางชุด แล้วถูกนับเป็นเครื่องนั้นได้
ผลคือผู้โจมตีทำได้ทุกอย่างที่บัญชีที่ถูกปลอมทำได้ ถ้าเป็นบัญชีผู้ดูแล ก็อาจคุมคลัสเตอร์ เครื่องเสมือนทั้งหมด และได้สิทธิ์ root บนเครื่องแม่ข่าย ใน MicroCloud ยังมีความเสี่ยงที่ผู้โจมตีดักเอาใบรับรองของเครื่องที่กำลังเข้าร่วมคลัสเตอร์ แล้วสวมรอยเป็นเครื่องนั้น ข้อบกพร่องนี้ทีม Incus ซึ่งเป็นโครงการแยกจาก LXD เป็นผู้พบและส่งต่อให้ Canonical
Canonical ออกรุ่นแก้ไขตั้งแต่ 29 ต.ค. 2569 ได้แก่ LXD 6.10.1, 5.21.9, 5.0.11 และ 4.0.15 กับ MicroCloud 3.4.1 และ 2.1.5 แต่ทยอยปล่อยเข้าช่อง stable ทีละขั้น เมื่อ 31 ต.ค. ยังพบว่าช่อง 5.21, 5.0 และ 4.0 บางส่วนยังจ่ายรุ่นเก่าอยู่ เครื่องที่ตั้งเลื่อนการอัปเดต snap ไว้ก็อาจยังไม่ได้แพตช์
ข่าวดีคือค่าเริ่มต้นของ LXD เปิดรับคำสั่งผ่านซ็อกเก็ตภายในเครื่องเท่านั้น เครื่องที่เสี่ยงคือเครื่องที่ตั้งค่า core.https_address ให้เปิด API ทางเครือข่าย และจนถึงตอนนี้ยังไม่มีรายงานการโจมตีจริง คนทั่วไปที่ไม่ได้ดูแลเซิร์ฟเวอร์ไม่ได้รับผลกระทบ
ควรทำอะไร
- รัน sudo snap refresh lxd และ sudo snap refresh microcloud แล้วเช็กด้วย snap list ว่าได้รุ่นที่แก้แล้ว
- ตรวจว่าเครื่องไหนตั้ง core.https_address หรือ cluster.https_address ไว้ และจำกัดให้เข้าถึงได้เฉพาะเครื่องผู้ดูแลจนกว่าจะแพตช์
- ลบใบรับรองลูกข่ายที่ไม่ใช้แล้วออกจากรายชื่อที่ไว้ใจ
- ถ้าใช้ Incus ให้อัปเดตเป็น 7.6.0 ขึ้นไป