Falha Crítica no LXD e MicroCloud Expõe Clusters a Acessos Não Autorizados
Uma vulnerabilidade recém-descoberta permite que atacantes se passem por clientes confiáveis sem possuir chaves privadas. Isso pode levar à comprometimento completo do cluster e acesso não autorizado a máquinas virtuais.
TL;DR
- Falha com pontuação CVSS 10,0 afeta as plataformas LXD e MicroCloud da Canonical
- Atacantes podem ignorar a autenticação usando apenas o certificado público de um cliente
- Exploração requer acesso à rede ao endpoint da API HTTPS
- Ataques bem-sucedidos concedem acesso total ao cluster e controle das VMs
- Organizações devem auditar imediatamente o acesso baseado em certificados
Foi identificada uma falha de segurança crítica nas plataformas de infraestrutura LXD e MicroCloud da Canonical, obtendo uma pontuação CVSS perfeita de 10,0. A vulnerabilidade permite que agentes maliciosos se autentiquem como clientes confiáveis sem possuir suas respectivas chaves privadas, potencialmente concedendo acesso não autorizado a clusters inteiros e às suas máquinas virtuais associadas.
O vetor de ataque depende do invasor ter acesso à rede da API HTTPS e posse do certificado público de um cliente legítimo. Uma vez explorado, o atacante obtém todos os privilégios do cliente personificado, incluindo acesso aos recursos do cluster e ambientes de máquinas virtuais. Isso representa um risco severo para organizações que utilizam essas plataformas para orquestração de contêineres e nuvem.
Detalhes da Vulnerabilidade
- A falha permite ignorar a autenticação ao explorar mecanismos de confiança baseados em certificados
- Nenhuma posse de chave privada é necessária para ataques bem-sucedidos de personificação
- Pontuação CVSS perfeita de 10,0 indica gravidade máxima sem fatores atenuantes
- Afeta tanto o gerenciamento de contêineres LXD quanto as plataformas de orquestração MicroCloud
Impacto e Recomendações
- Atacantes obtêm acesso total ao cluster e podem controlar todas as máquinas virtuais associadas
- Organizações devem auditar imediatamente as configurações de autenticação baseada em certificados
- Segmentação de rede e controles de acesso à API podem ajudar a limitar o escopo da exploração
- A Canonical lançou correções – atualização imediata recomendada para todas as implantações
Fontes
Fontes
Atualizações de segurança por e-mail
Um e-mail resumo quando publicarmos novos artigos de segurança (TL;DR e links para ler mais). Cancele a inscrição a qualquer momento no rodapé da mensagem. Veja nossa Política de Privacidade.