CVE-2026-12411: Canonical LXD: Quebra de Controle de Acesso (IDOR) no Handler PATCH do devLXD
A CVE-2026-12411 é uma falha de quebra de controle de acesso no componente devLXDInstancePatchHandler do Canonical LXD, que o registro indica afetar versões a partir da 6.6 até a anterior à 6.9. Quando uma configuração específica está habilitada, um convidado não confiável pode conseguir montar, ler e sobrescrever o volume de armazenamento personalizado de outro convidado. A NVD atribui nota 9.6 (crítica) e a CNA Ubuntu atribui 8.4; o CISA KEV não a lista e nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
A CVE-2026-12411 é classificada como CWE-639 (desvio de autorização por chave controlada pelo usuário, conhecido como IDOR). A falha está no componente devLXDInstancePatchHandler do Canonical LXD. O registro descreve que um convidado não confiável pode agir sobre o volume de armazenamento personalizado de outro convidado pela interface devLXD. O aviso do fornecedor está publicado no GitHub Security Advisories, e uma correção é referenciada no pull request 18585.
Impacto
Segundo o registro, o ataque pode permitir que um convidado monte, leia e sobrescreva o volume de armazenamento personalizado de outro convidado. O registro observa que isso se aplica somente quando a configuração security.devlxd.management.volumes está habilitada. O vetor CVSS da NVD indica alto impacto de confidencialidade e integridade, sem impacto de disponibilidade, com mudança de escopo.
- Confidencialidade: dados do volume personalizado do outro convidado podem ser lidos.
- Integridade: dados desse volume podem ser sobrescritos.
- Disponibilidade: não indicada pelo vetor da NVD.
Versões e produtos afetados
O registro lista como afetadas as versões do Canonical LXD iguais ou superiores à 6.6 e inferiores à 6.9. Nenhuma versão corrigida é informada no registro. A correção é referenciada no pull request 18585, e o limite superior da faixa afetada sugere que a correção esteja em uma versão a partir da 6.9, o que é uma inferência que precisa ser confirmada no aviso do fornecedor.
Status de exploração
A CVE não consta no catálogo KEV da CISA, portanto o registro não confirma exploração ativa. Nenhuma exploração confirmada aparece nas fontes consultadas. A referência GHSA traz a marcação 'Exploit' no registro, mas o registro não descreve atividade de exploração específica. A probabilidade EPSS é 0,00288, com percentil de 0,19814, datada de 2026-10-13.
Correção e mitigação
- Identifique todos os hosts com Canonical LXD em versão dentro da faixa afetada.
- Aplique a correção do fornecedor ou atualize para uma versão que o aviso GHSA indique como corrigida.
- Quando o recurso de gerenciamento de volumes via devLXD não for necessário, considere manter security.devlxd.management.volumes desabilitado. Isso é uma inferência a partir do registro, que afirma que a falha exige essa configuração habilitada.
- Revise quais convidados compartilham hosts com volumes de armazenamento personalizados sensíveis, pois o risco depende do acesso entre convidados.
Orientações de detecção
- Faça o inventário das versões do LXD e liste os hosts com a configuração afetada habilitada.
- Revise os logs do LXD e do host em busca de montagens, leituras ou alterações inesperadas de volumes de armazenamento originadas em convidados.
- Verifique alterações em volumes personalizados quanto a propriedade ou configuração que não condizem com a atividade esperada dos convidados.
Limitações das informações disponíveis
O registro não informa uma versão corrigida, um status de exploração publicado pelo fornecedor nem uma descrição técnica completa do caminho de código vulnerável, e esses detalhes não são incluídos aqui. As notas da NVD (9,6) e da CNA Ubuntu (8,4) diferem, e o registro não explica a diferença. O registro também não informa se a correção está em uma linha de versão específica com backport.
Perguntas frequentes
O que é a CVE-2026-12411?
É uma falha de quebra de controle de acesso no componente devLXDInstancePatchHandler do Canonical LXD. O registro indica que um convidado não confiável pode montar, ler e sobrescrever o volume de armazenamento personalizado de outro convidado quando uma configuração específica está habilitada.
Quais versões do Canonical LXD são afetadas?
O registro lista versões iguais ou superiores à 6.6 e inferiores à 6.9. Ele não informa a versão corrigida, então consulte o aviso GHSA para saber qual release contém a correção.
Esta CVE está sendo explorada ativamente?
O catálogo KEV da CISA não a lista, e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.