CVE-2025-54291

Nieprawidłowa autoryzacja w punkcie końcowym tworzenia niestandardowych woluminów magazynu w Canonical LXD w wersjach 5.0.0 i nowszych (naprawione w 5.0.10, 5.21.8 i 6.10) na Linuksie pozwala uwierzytelnionemu klientowi z uprawnieniami do tworzenia niestandardowych woluminów w projekcie na kopiowanie i odczyt dowolnego niestandardowego woluminu magazynu z dowolnego innego projektu na serwerze, w tym jego migawek i konfiguracji. Klient robi to za pomocą spreparowanego żądania, które ustawia source volume i source.project, ale pomija source.type.

Nieprawidłowe rozwiązywanie ścieżek w funkcji rekurencyjnego pobierania plików w kliencie CLI LXD w wersjach 4.0.2 do 6.9 (naprawione w 4.0.14, 5.0.10 i 5.21.8) na Linuksie pozwala atakującemu z dostępem root wewnątrz maszyny wirtualnej na zapisywanie plików lub drzew katalogów kontrolowanych przez atakującego w dowolnych ścieżkach na hoście klienta, z uprawnieniami operatora. Atakujący robi to za pomocą zmodyfikowanego lxd-agent, który zwraca niespójne listy katalogów SFTP i wyniki Lstat.

Brak autoryzacji w funkcji imageDownload w Canonical LXD przed wersjami 5.0.10, 5.21.8 i 6.10 na Linuksie pozwala klientowi z ograniczeniami projektowymi na dostęp do prywatnych obrazów z innych projektów poprzez ponowne użycie lokalnego odcisku palca podczas importu obrazów lub instancji.

W listenerze HTTPS w Canonical LXD (wersje 4.0.14, 5.0.10, 5.21.8, 6.9 przed 4.0.15, 5.0.11, 5.21.9, 6.10.1) występuje nieprawidłowa walidacja certyfikatów. Umożliwia to nieuwierzytelnionemu atakującemu uwierzytelnienie się jako dowolny zaufany klient i uzyskanie pełnego dostępu do klastra oraz zarządzanych maszyn wirtualnych za pomocą spreparowanego łańcucha certyfikatów.

Podatność w Canonical LXD (wersje 4.0 i późniejsze, naprawiona w 4.0.14, 5.0.10, 5.21.8 i 6.10) pozwala uwierzytelnionemu klientowi lub złośliwemu serwerowi migracji na zapis plików kontrolowanych przez atakującego w dowolnych ścieżkach na hoście jako root, co prowadzi do pełnego przejęcia hosta. Atak wykorzystuje spreparowany strumień rsync lub btrfs send, który umieszcza dowiązanie symboliczne w przesyłanym wolumenie.

Podatność typu path traversal w sterowniku Btrfs (unpackVolume) w Canonical LXD na Linux pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do tworzenia instancji na usuwanie lub zastępowanie dowolnych plików i katalogów na systemie plików hosta jako root. Atak wykorzystuje spreparowany wpis subvolumes[].path w pliku backup/optimized_header.yaml podczas importu zoptymalizowanej kopii zapasowej btrfs.

Podatność typu path traversal w sterowniku btrfs w Canonical LXD (wersje 4.0.2 i późniejsze, naprawiona w 4.0.14, 5.0.10, 5.21.8 i 6.10) pozwala uwierzytelnionemu klientowi z uprawnieniami do tworzenia instancji na usuwanie dowolnych plików na hoście jako root. Na hostach z systemem plików btrfs atakujący może również umieszczać dowolną treść w dowolnych ścieżkach, co prowadzi do pełnego przejęcia hosta.

Nieprawidłowe sanityzacja parametru compression_algorithm w Canonical LXD pozwala uwierzytelnionemu, nieuprzywilejowanemu użytkownikowi na wykonanie poleceń jako demon LXD na serwerze LXD poprzez wywołania API do punktów końcowych obrazów i kopii zapasowych. Problem dotyczy LXD od wersji 4.12 do 6.6 i został naprawiony w wersjach snap 5.0.6-e49d9f4, 5.21.4-1374f39 oraz 6.7-1f11451. Kanał 4.0/stable nie jest dotknięty, ponieważ zawiera wersję 4.0.10.

Podatność typu Path Traversal w funkcji eksportu i kopiowania obrazów w kliencie CLI LXD od wersji 4.0.2 przed 4.0.14, 5.0.10, 5.21.8 i 6.10 na wszystkich platformach pozwala zdalnemu złośliwemu serwerowi obrazów lub atakującemu typu man-in-the-middle na nadpisanie dowolnych plików lokalnych i wykonanie kodu na systemie klienta poprzez spreparowany nagłówek Content-Disposition z parametrem filename podczas operacji eksportu lub kopiowania obrazów do lokalnego katalogu docelowego.

Podatność Broken Access Control w komponencie devLXDInstancePatchHandler oprogramowania Canonical LXD umożliwia niezaufanemu gościowi zamontowanie, odczytanie i nadpisanie niestandardowego woluminu pamięci masowej innego gościa za pomocą spreparowanego żądania PATCH do /dev/lxd, gdy włączona jest opcja security.devlxd.management.volumes.