CVE-2026-63298
KrytyczneCVSS 9.9Streszczenie
W LXD stwierdzono podatność polegającą na niewłaściwej neutralizacji specjalnych elementów w obsłudze konfiguracji NVIDIA, która pozwala uwierzytelnionemu atakującemu na wstrzyknięcie dowolnych dyrektyw konfiguracyjnych. Poprzez dostarczenie znaków nowej linii w wartościach 'nvidia.driver.capabilities' lub 'nvidia.require.*' atakujący może manipulować wygenerowanym plikiem lxc.conf.
Ocena ryzyka
Atakujący może wykonać dowolny kod na systemie hosta z uprawnieniami demona LXD, co stanowi poważne zagrożenie dla integralności i poufności systemu.
Rekomendacja
Zaleca się aktualizację LXD do wersji zawierającej poprawkę walidacji wartości konfiguracyjnych oraz ograniczenie dostępu do konfiguracji instancji.
Oryginalny opis (angielski, źródło NVD)
An improper neutralization of special elements vulnerability in LXD's NVIDIA instance configuration handling allows an authenticated attacker to inject arbitrary configuration directives. By supplying newline characters within the 'nvidia.driver.capabilities' or 'nvidia.require.*' configuration values, an attacker can manipulate the generated lxc.conf file. This flaw enables the attacker to execute arbitrary code on the host system with the privileges of the LXD daemon.