Veille sécuritéBackend & données
P3Critique
Dans le client Incus, un serveur d’images malveillant peut fournir un en-tête Incus-Image-Hash forgé et provoquer une écriture arbitraire de fichier, susceptible d’aboutir à l’exécution de commandes en tant que root. L’avis indique comme version corrigée 0.0.0-20260630083100-c5184be310b1 ; mettre à niveau LXD vers cette version ou une version ultérieure.
Go
IdentifiantAvis de sécurité
GravitéCritique
Exploitationnon connue / non déterminée
Correctif0.0.0-20260630083100-c5184be310b1
Source : GHSA-pjff-c2wc-f6jm — LXD has arbitrary file write on client due to trusted image hash
Analyse technique
Le chemin de téléchargement crée le fichier de destination à partir de la valeur d’alias fournie par l’en-tête avant de valider le hachage reçu.
Impact, versions et correctif
Événement datéAvis publié le 2026-11-06T19:36:55Z, dans la période demandée.
ImpactÉcriture arbitraire de fichier ; exécution de commandes avec privilèges root possible.
Versions affectées< 0.0.0-20260630083100-c5184be310b1
Version corrigée0.0.0-20260630083100-c5184be310b1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.9
Publication2026-11-06T19:36:55Z
Mise à jour2026-11-06T19:36:57Z
Action recommandée
Mettre à niveau LXD vers la version corrigée indiquée dans l’avis.
Sources
Priorisation DFS : P3 · 1 source(s).