در LXD اعتماد به گواهی مشتری، مرز دسترسی به مدیریت ماشین‌ها و خوشه است. Canonical گزارش کرده که اعتبارسنجی زنجیرهٔ گواهی در شنوندهٔ HTTPS می‌تواند به مهاجم اجازه دهد هویت یک مشتری مورد اعتماد را بپذیراند. اطلاعیهٔ سازنده می‌گوید گواهی عمومی مشتری برای این سناریو کافی است. پیامد به اختیارات هویت جعل‌شده بستگی دارد و ممکن است تا دسترسی مدیریتی به خوشه، ماشین‌های مدیریت‌شده یا میزبان برسد. داشتن گواهی عمومی با در اختیار داشتن کلید خصوصی مشتری تفاوت دارد.
رکورد رسمی چهار شاخهٔ LXD را مشخص می‌کند. برای شاخهٔ 4.0، نسخهٔ 4.0.14 تا پیش از 4.0.15 متأثر است. برای شاخهٔ 5.0، مرزها 5.0.10 و 5.0.11 هستند. در شاخهٔ 5.21، نسخهٔ 5.21.8 تا پیش از 5.21.9 ذکر شده است. بازهٔ چهارم از 6.9.0 تا پیش از 6.10.1 است. سازنده در اطلاعیهٔ امنیتی خود بسته‌های اصلاح‌شدهٔ LXD را برای کانال‌های متناظر و همچنین اصلاح‌های MicroCloud را جداگانه معرفی کرده است.
ارزیابی و اقدام عملی
برای اقدام، ابتدا روشن کنید کدام گره‌ها واقعاً شنوندهٔ HTTPS فعال دارند و چه شبکه‌هایی می‌توانند به آن برسند. مسیر دسترسی پشت توازن بار، VPN یا شبکهٔ مدیریت را نیز بررسی کنید. بستهٔ اصلاحی باید روی همهٔ اعضای مربوط نصب و نسخهٔ فرایند فعال ثبت شود. اگر یک گره قدیمی هنوز درخواست می‌پذیرد، اصلاح سایر گره‌ها برای بسته‌شدن مسیر کافی نیست. اطلاعیهٔ Canonical به عرضهٔ مرحله‌ای بسته‌ها اشاره دارد، پس مشاهدهٔ شمارهٔ نسخه روی همان میزبان ضروری است.
پس از ارتقا، اتصال مشتری شناخته‌شده و رد مشتری فاقد اعتماد را با گواهی‌های آزمایشی بررسی کنید. هنگام بررسی گذشته، صرف اتکا به نام مشتری در لاگ ممکن است گمراه‌کننده باشد، زیرا جعل همین هویت موضوع نقص است. منشأ اتصال، تغییر ماشین‌ها، عملیات مدیریت خوشه و زمان رویدادها را کنار هم بگذارید. محدودکردن دسترسی شبکه در فاصلهٔ دریافت و اجرای اصلاح، مواجهه را کاهش می‌دهد. ثبت نسخهٔ هر گره و نتیجهٔ آزمون اعتماد، شواهد مناسبی برای تحویل کار به تیم عملیات است.
امتیاز و منابع
امتیاز پایهٔ ثبت‌شده توسط canonical برابر 10 در CVSS 4.0 است. بردار ارزیابی: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H. تاریخ انتشار رکورد ۳۰ اکتبر ۲۰۲۶ است.
تصویر همراه نشان Canonical برای معرفی محصول یا سازنده است.
