Veille sécuritéBackend & données
P3Critique
Incus n’applique pas le réglage de restriction des fonctionnalités bas niveau lors de la restauration d’instantanés, ce qui peut permettre l’exécution de commandes arbitraires sur l’hôte avec les privilèges root. Les versions antérieures à 7.2.0 sont indiquées comme affectées et la version 7.2.0 comme corrigée ; mettez Incus à niveau.
DebianGo
IdentifiantCVE-2026-48751
GravitéCritique
Exploitationnon connue / non déterminée
Correctif7.2.0
Source : GHSA-48q5-w887-33wv — Incus has a restricted project bypass leading to arbitrary command execution
Analyse technique
Des instantanés peuvent ignorer `restricted.containers.lowlevel=block` ; des hooks bas niveau tels que `raw.lxc` ou `raw.qemu` peuvent alors être exploités. L’avis donne la version corrigée 7.2.0.
Impact, versions et correctif
Événement datéAvis GitHub mis à jour le 2026-11-05 à 21:53:38Z, dans la période demandée ; l’événement retenu est cette mise à jour d’avis.
ImpactUn acteur malveillant peut contourner les restrictions et exécuter des commandes arbitraires sur le serveur Incus avec les privilèges root.
Versions affectéesIncus < 7.2.0
Version corrigée7.2.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.9
EPSS0,64% · percentile 50,7%
Publication2026-06-26T18:33:55Z
Mise à jour2026-11-05T21:53:38Z
Action recommandée
Mettre à niveau Incus vers la version 7.2.0 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).