Canonical corrige una falla con CVSS 10.0 en LXD y MicroCloud que permite hacerse pasar por un cliente

CVE-2026-112816 bastaba con el certificado público del cliente y acceso a la API HTTPS. Canonical ya publicó versiones corregidas.

Canonical corrigió una falla crítica en LXD y MicroCloud que permite a un atacante iniciar sesión como un cliente de confianza sin tener su llave privada, informó The Hacker News el 1 de noviembre de 2026. El fallo se identifica como CVE-2026-112816 y tiene una puntuación CVSS de 10.0.

LXD y MicroCloud autentican clientes remotos con TLS mutuo: el cliente presenta un certificado y el servidor lo compara con su lista de identidades de confianza. El error estaba en esa comparación: el servidor aceptaba certificados adicionales de la cadena, aunque la conexión TLS solo prueba que el cliente posee la llave del certificado hoja.

Un atacante con acceso de red a la API HTTPS y con el certificado público de un cliente ya confiable podía colocarlo detrás del suyo y hacerse pasar por ese cliente. Si la cuenta era privilegiada, Canonical dijo que el atacante podía obtener «acceso root a la máquina anfitriona».

LXD por defecto no abre esa API a la red; hace falta activar core.https_address. MicroCloud, que agrupa varias máquinas con LXD, tiene un punto débil adicional: quien capture el certificado público de un miembro al unirse al clúster puede entrar como ese miembro.

Las versiones afectadas incluyen LXD 4.0.14, 5.0.10, 5.21.8 y 6.9 antes de sus correcciones. Canonical publicó snaps corregidos: LXD 6.10.1, 5.21.9, 5.0.11 y 4.0.15, y MicroCloud 3.4.1 y 2.1.5. El proyecto Incus, un fork comunitario de LXD, reportó el fallo primero y lo corrigió en la 7.6.0.

CISA evaluó el 30 de octubre que no hay indicios de explotación pública. Canonical no ofrece un arreglo temporal: la recomendación es actualizar y limitar quién alcanza la API hasta completar el refresco.

Fuente: The Hacker News: «CVSS 10.0 LXD, MicroCloud Flaw Lets Attackers Impersonate Trusted Clients Without a Private Key», 1 de noviembre de 2026.