Veille sécuritéBackend & données
P3Critique
Les instantanés d’instances ne respectent pas le réglage restricted.containers.lowlevel=block, ce qui permet de contourner les restrictions de projet et d’exécuter des commandes arbitraires sur l’hôte. Mettre à niveau LXD vers la version corrigée 0.0.0-20260630083100-c5184be310b1 ou ultérieure.
Go
IdentifiantAvis de sécurité
GravitéCritique
Exploitationnon connue / non déterminée
Correctif0.0.0-20260630083100-c5184be310b1
Source : GHSA-47w9-6r3f-938g — LXD has restricted project bypass leading to arbitrary command execution
Analyse technique
Des instantanés importés peuvent conserver des hooks de bas niveau tels que raw.lxc ou raw.qemu malgré le réglage de restriction du projet.
Impact, versions et correctif
Événement datéAvis publié le 2026-11-06T19:51:26Z, dans la période demandée.
ImpactContournement des restrictions et exécution de commandes arbitraires sur l’hôte avec privilèges root.
Versions affectées< 0.0.0-20260630083100-c5184be310b1
Version corrigée0.0.0-20260630083100-c5184be310b1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.9
Publication2026-11-06T19:51:26Z
Mise à jour2026-11-06T19:51:26Z
Action recommandée
Mettre à niveau LXD vers la version corrigée indiquée dans l’avis.
Sources
Priorisation DFS : P3 · 1 source(s).