Falha com gravidade máxima ameaça servidores Linux que utilizam LXD e MicroCloud

Uma vulnerabilidade crítica nos produtos LXD e MicroCloud, da Canonical, permite que invasores se passem por clientes confiáveis sem possuir suas chaves privadas de autenticação. Identificada como CVE-2026-112816, a falha recebeu pontuação máxima de 10,0 no CVSS e pode permitir acesso a clusters, máquinas virtuais e, em determinadas condições, ao sistema operacional dos servidores.

Para explorar a vulnerabilidade, o invasor precisa ter acesso à API HTTPS do ambiente e obter o certificado público de um cliente previamente autorizado. Caso consiga assumir a identidade de uma conta privilegiada, poderá alcançar permissões de root no servidor hospedeiro, segundo a Canonical.

A empresa disponibilizou atualizações de segurança para os dois produtos.

Como funciona a vulnerabilidade

O LXD e o MicroCloud utilizam autenticação TLS mútua (mTLS) para permitir que clientes remotos acessem suas APIs. Nesse mecanismo, os clientes apresentam certificados digitais que comprovam sua identidade perante o servidor.

A vulnerabilidade está na forma como o servidor valida esses certificados. Em vez de verificar exclusivamente a identidade autenticada pela conexão TLS, o sistema comparava todos os certificados apresentados na cadeia com sua lista de clientes confiáveis.

Entretanto, a conexão TLS comprova apenas que o cliente possui a chave privada correspondente ao primeiro certificado da cadeia, conhecido como leaf certificate. Os demais certificados podem ser adicionados pelo próprio cliente.

Essa inconsistência permite que um invasor utilize seu próprio certificado e acrescente à cadeia o certificado público de um cliente legítimo. Como esse certificado está registrado na lista de confiança, o servidor pode reconhecer incorretamente o invasor como um cliente autorizado.

O ataque não exige o comprometimento da chave privada da vítima, já que certificados públicos não são informações secretas.

Sistemas afetados e condições de exploração

A exploração depende de dois requisitos: conectividade com a API HTTPS e acesso ao certificado público de um cliente confiável.

Por padrão, instalações independentes do LXD não expõem a API pela rede. O serviço utiliza um socket local, e o acesso remoto precisa ser habilitado pelo administrador por meio da configuração core.https_address.

No MicroCloud, que integra múltiplos servidores LXD em um cluster, existe um cenário específico de exposição. Segundo a Canonical, um invasor capaz de capturar o certificado público de um servidor durante sua entrada no cluster pode posteriormente utilizá-lo para se autenticar como esse membro.

O registro da CVE identifica versões vulneráveis nas linhas LXD 4.0, 5.0, 5.21 e 6, além das versões afetadas do MicroCloud.

Versões corrigidas pela Canonical

A Canonical disponibilizou as seguintes versões de segurança, distribuídas pelos canais Snap:

Produto	Canal Snap	Versão corrigida
LXD	6/stable	6.10.1
LXD	5.21/stable	5.21.9
LXD	5.0/stable	5.0.11
LXD	4.0/stable	4.0.15
MicroCloud	3/stable	3.4.1
MicroCloud	2/stable	2.1.5

Os pacotes LXD distribuídos diretamente pelos repositórios do Ubuntu foram classificados como não afetados ou não disponibilizados nas versões correspondentes. As correções mencionadas são destinadas às instalações Snap.

Falha também afeta o Incus

A vulnerabilidade foi inicialmente identificada pelo projeto Incus, criado como uma derivação comunitária do LXD. Após a divulgação, a Canonical confirmou que o mesmo problema também afetava seus produtos.

O Incus corrigiu a vulnerabilidade na versão 7.6.0, que também resolve outras 17 questões de segurança.

Até o momento, não existem evidências públicas de exploração ativa da CVE-2026-112816. Uma avaliação da agência norte-americana CISA, datada de 30 de outubro, informa que a falha não é conhecida por ter sido explorada.

A vulnerabilidade também não integra o catálogo Known Exploited Vulnerabilities (KEV) da agência, e nenhum exploit funcional foi divulgado publicamente.

Recomendações de segurança

A principal recomendação é atualizar imediatamente as instalações afetadas do LXD e MicroCloud para as versões corrigidas.

Em ambientes que utilizam Snap, os administradores podem executar os comandos:

sudo snap refresh lxd
sudo snap refresh microcloud

A Canonical informou que, no momento da publicação de seu comunicado, algumas versões corrigidas do LXD ainda estavam sendo transferidas do canal candidate para o stable. Por isso, é necessário verificar a versão efetivamente instalada após a atualização.

A empresa não apresentou uma solução temporária específica para a vulnerabilidade.

Como a exploração depende de acesso à API HTTPS, restringir a conectividade de rede aos servidores autorizados pode reduzir a exposição enquanto a atualização não estiver disponível.

O projeto Incus também confirmou que não existe uma alteração de configuração capaz de eliminar a falha, recomendando restringir o acesso de rede ao serviço até a instalação da versão 7.6.0.