Fallo crítico en LXD y MicroCloud expone clústeres a accesos no autorizados
Una vulnerabilidad recién descubierta permite a los atacantes suplantar clientes de confianza sin necesidad de claves privadas. Esto podría derivar en la compromisión completa del clúster y acceso no autorizado a máquinas virtuales.
Resumen
- Fallo con puntuación CVSS 10.0 afecta a las plataformas LXD y MicroCloud de Canonical
- Los atacantes pueden evadir la autenticación usando solo el certificado público de un cliente
- La explotación requiere acceso a la red del punto final de la API HTTPS
- Los ataques exitosos otorgan acceso completo al clúster y control de máquinas virtuales
- Las organizaciones deben auditar inmediatamente el acceso basado en certificados
Se ha identificado un fallo crítico de seguridad en las plataformas de infraestructura LXD y MicroCloud de Canonical, que obtiene una puntuación CVSS perfecta de 10.0. La vulnerabilidad permite a actores maliciosos autenticarse como clientes de confianza sin poseer sus correspondientes claves privadas, lo que potencialmente otorga acceso no autorizado a clústeres completos y sus máquinas virtuales asociadas.
El vector de ataque depende de que el atacante tenga acceso a la red de la API HTTPS y posea el certificado público de un cliente legítimo. Una vez explotada, el atacante obtiene todos los privilegios del cliente suplantado, incluyendo acceso a recursos del clúster y entornos de máquinas virtuales. Esto representa un riesgo severo para organizaciones que dependen de estas plataformas para orquestación de contenedores y nube.
Detalles de la vulnerabilidad
- El fallo permite evadir la autenticación al explotar mecanismos de confianza basados en certificados
- No es necesario poseer la clave privada para llevar a cabo ataques de suplantación exitosos
- La puntuación CVSS perfecta de 10.0 indica gravedad máxima sin factores atenuantes
- Afecta tanto a la gestión de contenedores LXD como a la plataforma de orquestación MicroCloud
Impacto y recomendaciones
- Los atacantes pueden acceder completamente al clúster y controlar todas las máquinas virtuales asociadas
- Las organizaciones deben auditar inmediatamente las configuraciones de autenticación basada en certificados
- La segmentación de red y controles de acceso a la API pueden ayudar a limitar el alcance de la explotación
- Canonical ha publicado parches: se recomienda actualizar inmediatamente todas las implementaciones
Fuentes
Fuentes
Novedades de seguridad por correo
Un correo resumen cuando publicamos nuevos artículos de seguridad (resumen más enlaces para leer más). Date de baja cuando quieras desde el pie del mensaje. Consulta nuestra Política de privacidad.