Veille sécuritéBackend & données
P3Critique
L’avis GHSA-9j25-mm2h-2f76 décrit une écriture de fichiers sur l’hôte via un lien symbolique exec-output dans une image manipulée, exploitable par la fonction record-output de l’API exec de LXD. L’avis fourni indique comme version corrigée le commit 0.0.0-20260626085134-124f90100640; mettre à niveau vers cette version ou une version ultérieure.
Go
IdentifiantAvis de sécurité
GravitéCritique
Exploitationnon connue / non déterminée
Correctif0.0.0-20260626085134-124f90100640
Analyse technique
Lorsqu’une image place exec-output en lien symbolique, l’enregistrement de la sortie peut suivre ce lien et écrire des fichiers stdout/stderr dans un emplacement arbitraire de l’hôte.
Impact, versions et correctif
Événement datéLa fiche candidate indique une publication le 2026-11-06T18:45:51Z, dans la période demandée (+02:00).
ImpactUn utilisateur pouvant déclencher l’API exec avec record-output peut provoquer l’écriture de fichiers à un emplacement arbitraire de l’hôte; une exécution de commandes est possible selon l’emplacement et le contexte.
Versions affectées< 0.0.0-20260626085134-124f90100640
Version corrigée0.0.0-20260626085134-124f90100640
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.9
Publication2026-11-06T18:45:51Z
Mise à jour2026-11-06T18:45:52Z
Action recommandée
Mettre à niveau LXD vers la version corrigée indiquée ou une version ultérieure; éviter les images non fiables.
Sources
Priorisation DFS : P3 · 1 source(s).