LXD ve MicroCloud'da Maksimum Önem Dereceli Güvenlik Açığı: Özel Anahtar Olmadan Yetkili İstemci Taklidi

Canonical'ın konteyner ve küme yönetim yazılımları LXD ile MicroCloud'da, saldırganların hedef istemcinin özel anahtarına sahip olmadan o istemciyi taklit edebildiği kritik bir güvenlik açığı tespit edildi. CVE-2026-112816 olarak kayıt altına alınan açık, olası en yüksek CVSS puanı olan 10.0'ı aldı. Canonical, her iki ürün için de yamayı yayımladı.

Açık Nasıl Çalışıyor?​

LXD ve MicroCloud, uzak istemcilerin API'lerine karşılıklı TLS (mTLS) üzerinden erişmesine izin veriyor. Bu yapıda istemci, kimliğini kanıtlamak için sunucuya bir sertifika sunuyor. Sunucu, güven deposunda kayıtlı sertifikaları kabul ederek bağlantıya izin veriyor.
Açığın kaynağı, sunucunun bu sertifikayı doğrulama biçimindeydi. Sunucu, istemcinin gönderdiği her sertifikayı güven deposuyla karşılaştırıyordu; ancak bir TLS bağlantısı yalnızca zincirin ilk sertifikası olan yaprak sertifika için özel anahtarın istemcide bulunduğunu kanıtlıyor. Zincirin geri kalanını ise istemci serbestçe belirleyebiliyordu. Bu sayede bir saldırgan, kamuya açık olan güvenilir istemci sertifikasını alıp kendi sertifikasının arkasına ekleyerek sunucuya iletebiliyor ve sunucu bu kişiyi güvenilir istemci olarak kabul ediyordu.
Canonical, taklit edilen hesabın ayrıcalıklı olması durumunda saldırganın ana makineye kök erişimi elde edebileceğini açıkladı.

Kimler Etkileniyor?​

Açıktan yararlanmak için iki koşulun bir arada bulunması gerekiyor: HTTPS API'sine ağ erişimi ve sunucunun güven deposunda kayıtlı bir istemciye ait açık sertifika. Bağımsız bir LXD sunucusu, varsayılan olarak bu API'yi ağa açmıyor; yalnızca yerel soket üzerinden dinliyor. API'nin ağa açılması için bir yöneticinin core.https_address ayarını etkinleştirmesi gerekiyor.
MicroCloud ise birden fazla LXD makinesini tek bir kümede birleştirdiğinden farklı bir risk noktası taşıyor. Canonical, kümeye katılım sırasında bir üyenin açık sertifikasını ele geçirebilen bir saldırganın ardından o üye olarak sisteme giriş yapabileceğini belirtti.
Etkilenen sürümler CVE kaydında şöyle sıralanıyor: LXD 4.0.14, 5.0.10, 5.21.8 ve 6.9; bunların her biri kendisinden sonra gelen sabit sürümden önceki versiyonları kapsıyor.

Sabit Sürümler ve Güncelleme Adımları​

Canonical'ın yayımladığı sabit snap sürümleri şunlar:

• LXD 6/stable kanalı: 6.10.1
• LXD 5.21/stable kanalı: 5.21.9
• LXD 5.0/stable kanalı: 5.0.11
• LXD 4.0/stable kanalı: 4.0.15
• MicroCloud 3/stable kanalı: 3.4.1
• MicroCloud 2/stable kanalı: 2.1.5

\nSnap kurulumlarında güncelleme için sudo snap refresh lxd ve sudo snap refresh microcloud komutlarının çalıştırılması gerekiyor. Canonical, sabit LXD nokta sürümlerinin danışma belgesi yayımlandığı sırada aday kanaldan kararlı kanala geçiş sürecinde olduğunu belirterek kullanıcıların güncelleme sonrasında yüklü sürümü doğrulamasını tavsiye etti. Ubuntu'nun kendi arşiv paketleri etkilenmedi ya da bu paketler dağıtılmıyor.

Açığı Kim Bildirdi?​

Açık, Canonical bünyesinde başlamadı. LXD'nin topluluk çatalı olarak ortaya çıkan Incus projesi sorunu raporladı; Canonical da açığın LXD'yi etkilediğini doğruladı. Incus, aynı açığı 7.6.0 sürümünde kapattı. Bu sürüm, söz konusu açığın yanı sıra 17 farklı güvenlik sorununu daha gideriyor. Incus kullanıcılarının 7.6.0 sürümüne geçmesi gerekiyor.
Canonical'ın LXD için geçici bir geçici çözüm sunmadığı belirtiliyor. Incus projesi de yapılandırma yoluyla bir düzeltme olmadığını, tek önlemin dinleyiciye ağ erişimini kısıtlamak olduğunu açıkladı. Saldırının API'ye ağ erişimi gerektirdiği göz önünde bulundurulduğunda, bu erişimi sınırlamak güncelleme yapılana kadar riski azaltıyor.

Açık Aktif Olarak Kullanıldı mı?​

Açığın şimdiye kadar bir saldırıda kullanıldığına dair kamuya açık herhangi bir belirti bulunmuyor. CVE kaydında yer alan ABD CISA değerlendirmesi, 30 Ekim tarihiyle açığın istismar edildiğinin bilinmediğini ortaya koyuyor. Açık, CISA'nın Bilinen İstismar Edilen Güvenlik Açıkları listesinde de yer almıyor; çalışan bir istismar kodu da yayımlanmış değil.

Sıkça Sorulan Sorular​

CVE-2026-112816 nedir ve hangi ürünleri etkiliyor?​

CVE-2026-112816, Canonical'ın LXD ve MicroCloud ürünlerinde keşfedilen kritik bir güvenlik açığıdır. Saldırganların hedef istemcinin özel anahtarına sahip olmaksızın o istemciyi taklit etmesine olanak tanıyan bu açık, olası en yüksek CVSS puanı olan 10.0'ı almıştır.

Saldırgan bu açıktan yararlanmak için neye ihtiyaç duyuyor?​

Açıktan yararlanmak için iki koşulun aynı anda sağlanması gerekiyor: HTTPS API'sine ağ erişimi ve sunucunun güven deposunda kayıtlı bir istemciye ait açık sertifika. Açık sertifika gizli bir bilgi değildir; bu nedenle saldırgan özel anahtara ihtiyaç duymadan saldırıyı gerçekleştirebilir.

Açığı kapatmak için hangi sürümlere güncelleme yapılmalı?​

LXD için sabit snap sürümleri şunlardır: 6/stable kanalında 6.10.1, 5.21/stable kanalında 5.21.9, 5.0/stable kanalında 5.0.11 ve 4.0/stable kanalında 4.0.15. MicroCloud için ise 3/stable kanalında 3.4.1 ve 2/stable kanalında 2.1.5 sürümlerine geçilmesi gerekiyor.

Bu açık ilk olarak kim tarafından raporlandı?​

Açık, LXD'nin topluluk çatalı olan Incus projesi tarafından raporlandı. Canonical, bildirimin ardından açığın LXD'yi de etkilediğini doğruladı. Incus, aynı açığı 7.6.0 sürümünde 17 başka güvenlik sorunuyla birlikte kapattı.

Güncelleme yapılana kadar riski azaltmak için ne yapılabilir?​

Canonical, LXD için geçici bir yapılandırma çözümü sunmadı. Incus projesi de yapılandırma yoluyla bir düzeltme olmadığını belirterek tek önlemin API dinleyicisine ağ erişimini kısıtlamak olduğunu açıkladı. Saldırı ağ erişimi gerektirdiğinden bu kısıtlama güncelleme yapılana kadar riski azaltabilir.