CVE-2026-48751
KrytyczneCVSS 9.9Streszczenie
Incus przed wersją 7.2.0 ignoruje ustawienie `restricted.containers.lowlevel=block` w przypadku migawek instancji, co pozwala na wykonanie dowolnych poleceń na serwerze Incus poprzez nadużycie niskopoziomowych haków, takich jak `raw.lxc` i `raw.qemu`. Wersja 7.2.0 zawiera poprawkę.
Ocena ryzyka
Użytkownik z uprawnieniami do tworzenia migawek może wykonać dowolne polecenia na serwerze, co może prowadzić do pełnej kompromitacji systemu.
Rekomendacja
Zaleca się aktualizację Incus do wersji 7.2.0 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
Incus is a system container and virtual machine manager. Prior to version 7.2.0, instance snapshots ignore the `restricted.containers.lowlevel=block` setting; allowing for arbitrary command execution on the Incus server by abusing lowlevel hooks such as `raw.lxc` and `raw.qemu`. Version 7.2.0 patches the issue.