CVE-2026-63297
KrytyczneCVSS 9.9Streszczenie
W LXD stwierdzono podatność polegającą na obejściu autoryzacji z powodu błędu w synchronizacji podczas scalania konfiguracji, która pozwala uwierzytelnionemu atakującemu na ominięcie ograniczeń projektu docelowego podczas kopiowania instancji między projektami. LXD wykonuje sprawdzenia ograniczeń przed zakończeniem scalania konfiguracji, co tworzy warunek TOCTOU.
Ocena ryzyka
Atakujący może skopiować instancje z niedozwolonymi konfiguracjami o wysokich uprawnieniach do ograniczonych projektów, omijając kontrolę bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację LXD do wersji zawierającej poprawkę eliminującą warunek TOCTOU oraz przegląd procesów kopiowania instancji.
Oryginalny opis (angielski, źródło NVD)
An authorization bypass vulnerability in LXD due to a timing flaw during configuration merging allows an authenticated attacker to bypass target project restrictions during cross-project instance copies. When copying an instance to a target project, LXD performs restriction checks before configuration merging is complete, creating a time-of-check to time-of-use (TOCTOU) condition. An attacker can exploit this flaw to copy instances with disallowed high-privilege configurations into restricted projects, bypassing security controls.