Canonical的LXD與MicroCloud存在CVSS 10.0重大漏洞，可冒充受信任用戶端
· 資安
Canonical的LXD與MicroCloud存在評分達CVSS 10.0的重大漏洞，可讓攻擊者在未持有受信任用戶端私鑰的情況下，以該用戶端身分登入。要利用此漏洞，攻擊者需能從網路存取HTTPS API，並取得受信任用戶端的公開憑證。一旦得手，攻擊者便可冒充該用戶端並存取其資源。此漏洞對執行容器化與雲端基礎設施的組織至關重要，因為LXD與MicroCloud常用於管理虛擬機、容器與叢集。由於此漏洞動搖了核心的身分驗證假設，使用者應套用Canonical的修補，並將API存取限制在受信任網路，同時檢視哪些憑證被信任。
為什麼重要：廣泛使用的容器與雲端管理工具出現最高嚴重性漏洞，動搖了以憑證為基礎的身分驗證，使自建基礎設施與私有雲面臨風險。
重點
- 此漏洞CVSS評分為10.0，影響Canonical的LXD與MicroCloud。
- 利用漏洞需能從網路存取HTTPS API，並取得受信任用戶端的公開憑證。
- 攻擊者可在未持有私鑰的情況下冒充受信任用戶端。