ESTOY BAJO UN CIBER ATAQUE

Alerta

Logo de Canonical

Alerta 2026-135 Falla crítica en Canonical LXD y MicroCloud permite suplantar clientes de confianza

Producto(s) afectado(s): 

Producto (track del snap)Versiones afectadasVersión corregida
Canonical LXD, track 6 / latestAnteriores a 6.10.16.10.1
Canonical LXD, track 5.21 (LTS)5.21.8 y anteriores5.21.9
Canonical LXD, track 5.0 (LTS)5.0.10 y anteriores5.0.11
Canonical LXD, track 4.0 (LTS)4.0.14 y anteriores4.0.15
Canonical MicroCloud, track 3Anteriores a 3.4.13.4.1
Canonical MicroCloud, track 2Anteriores a 2.1.52.1.5

Solo están expuestos los servidores con la API HTTPS de LXD habilitada en red, como ocurre siempre en los clústeres de LXD y en todas las instalaciones de MicroCloud.

Descripción

Se ha publicado una vulnerabilidad de severidad crítica (CVSSv4 10.0 – CRÍTICO) en Canonical LXD, el gestor de contenedores y máquinas virtuales de Ubuntu, y en MicroCloud, la solución de nube privada basada en LXD, que permite a un atacante sin credenciales que pueda llegar a la API HTTPS autenticarse como cualquier cliente de confianza. La vulnerabilidad ha sido etiquetada como CVE-2026-112816 y es del tipo validación incorrecta de certificados (CWE-295).

El fallo se encuentra en la autenticación por TLS mutuo (mTLS) de la API remota. El handshake TLS solo prueba que el cliente posee la clave privada del primer certificado de la cadena, pero LXD comparaba todos los certificados de la cadena presentada con su lista de confianza. Un atacante que agregue como certificado intermedio el certificado público de un cliente de confianza puede hacerse pasar por ese cliente sin tener su clave privada. Los certificados públicos no son secretos: se intercambian en las conexiones TLS y pueden obtenerse de cualquier equipo cliente.

Según el proveedor, dependiendo de los privilegios de la identidad suplantada, el atacante puede obtener acceso root en el host, y el registro de la vulnerabilidad indica además acceso total al clúster y a las máquinas virtuales gestionadas. En MicroCloud, el atacante puede interceptar el certificado público de un miembro que se une al clúster y después autenticarse como ese miembro.

El proveedor indicó que el fallo le fue comunicado por investigadores de un proyecto derivado de LXD que también estaba afectado. Según esos investigadores, el problema existe desde la versión inicial del código y no hay forma de mitigarlo mediante configuración.

La exposición requiere que la API HTTPS escuche en red (core.https_address o cluster.https_address configurado). Por defecto, LXD solo escucha en un socket Unix local, pero la API siempre está expuesta en clústeres de LXD, en MicroCloud y en los hosts gestionados en remoto o mediante la interfaz web. Los paquetes deb lxd de las versiones soportadas de Ubuntu figuran como no afectados o no existen, ya que desde Ubuntu 20.04 LXD se distribuye como snap.

El proveedor publicó las versiones corregidas con fecha 29/10/2026 mediante un despliegue progresivo desde el canal candidate hacia el canal stable. Los canales stable de los tracks 5.21, 5.0 y 4.0 de LXD sirven las versiones corregidas recién desde el 01/11/2026 a las 02:10 (PYT), por lo que un snap refresh ejecutado antes de esa hora pudo no haber instalado la corrección.

No se ha informado explotación activa, la vulnerabilidad no figura en el catálogo de vulnerabilidades explotadas conocidas (KEV) de la agencia de ciberseguridad de EE. UU. y no se ha identificado código de explotación público. Una fuente gubernamental evalúa que la explotación puede automatizarse y que el impacto técnico es total.

Mitigación

El proveedor no ha publicado una mitigación temporal. Mientras se aplica la actualización, se recomienda:

  • Restringir el acceso al puerto de la API HTTPS de LXD (8443/tcp por defecto) a los equipos de gestión de confianza, mediante firewall o listas de control de acceso, y no exponerlo a Internet.
  • Si el acceso remoto no es necesario y el servidor no forma parte de un clúster, desactivar la API en red con lxc config unset core.https_address.
  • En MicroCloud, no agregar miembros nuevos al clúster por redes no confiables hasta haber actualizado.

Detección y verificación de exposición

El proveedor no ha publicado indicadores de compromiso. Como recomendaciones generales:

  • Comprobar la versión, la revisión y el track instalados con snap list lxd microcloud y snap info lxd | grep -E 'tracking|installed'.
  • Comprobar si la API HTTPS escucha en red con lxc config get core.https_address y lxc config get cluster.https_address (un valor vacío indica que la API solo escucha localmente) y con ss -tlnp | grep 8443.
  • En clústeres, confirmar con lxc cluster list que todos los miembros tienen la versión corregida.
  • Revisar las identidades de confianza con lxc config trust list y eliminar las que no se reconozcan.
  • Revisar la actividad reciente del servicio (journalctl -u snap.lxd.daemon, lxc operation list, lxc list --all-projects) en busca de instancias, cambios de configuración o ejecución de comandos no justificados.

Solución

La solución consiste en actualizar LXD y MicroCloud a la versión corregida de su track:

  • sudo snap refresh lxd (LXD 6.10.1, 5.21.9, 5.0.11 o 4.0.15, según el track).
  • sudo snap refresh microcloud (MicroCloud 3.4.1 o 2.1.5, según el track).

Como los tracks 5.21, 5.0 y 4.0 de LXD recibieron la corrección en el canal stable recién el 01/11/2026 a las 02:10 (PYT), se recomienda verificar con snap list lxd que la versión instalada sea la corregida (5.21.9, 5.0.11 o 4.0.15) y, si no lo es, volver a ejecutar sudo snap refresh lxd.

En clústeres se deben actualizar todos los miembros, ya que LXD requiere la misma versión en todo el clúster. Los tracks LXD 3.0 y MicroCloud 1 no tienen corrección y deben migrarse a un track con soporte. Después de actualizar, se recomienda revisar la lista de identidades de confianza y, si se sospecha un acceso indebido, renovar los certificados de los clientes y revisar instancias, perfiles y dispositivos.

Para info sobre cómo actualizar, visita el siguiente enlace:

https://discourse.ubuntu.com/t/security-advisory-critical-vulnerability-found-in-canonical-lxd-and-microcloud/90557

Información adicional: