Veille sécuritéBackend & données
P4Moyenne
L’import d’une sauvegarde de volume personnalisé contenant un instantané sans valeur expires_at peut provoquer un déréférencement nil et faire planter le démon LXD. L’avis indique comme version corrigée 0.0.0-20260622081844-85f897013ccd ; mettre à niveau vers cette version ou une version ultérieure.
Go
IdentifiantCVE-2026-9639
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif0.0.0-20260622081844-85f897013ccd
Source : GHSA-j93m-3j9p-m5m8 — LXD has CreateCustomVolumeFromBackup nil-pointer dereference
Analyse technique
Un utilisateur authentifié disposant du droit de créer des volumes de stockage dans un projet peut soumettre une sauvegarde dont un instantané omet expires_at ; le pointeur est déréférencé sans vérification dans CreateCustomVolumeFromBackup.
Impact, versions et correctif
Événement datéAvis publié le 2026-11-06T19:37:14Z, dans la période demandée.
ImpactDéni de service par arrêt du démon LXD.
Versions affectées< 0.0.0-20260622081844-85f897013ccd
Version corrigée0.0.0-20260622081844-85f897013ccd
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.5
EPSS0,55% · percentile 46,1%
Publication2026-11-06T19:37:14Z
Mise à jour2026-11-06T19:37:18Z
Action recommandée
Mettre à niveau LXD vers la version corrigée indiquée dans l’avis.
Sources
Priorisation DFS : P4 · 1 source(s).