Vulnerabilidades de Canonical

An authorization bypass vulnerability in LXD allows an authenticated attacker to bypass target project security restrictions during cross-project instance migrations. When moving an instance cross-project to a different cluster member via POST /1.0/instances/{name} with migration: true, project: <target>, and target: <member>, the destination node skips all project restriction checks because the request arrives as an internal cluster notification. An attacker can exploit this to introduce disallowed instance configurations into a restricted project.

An input validation and injection vulnerability exists in Canonical ubuntu-pro-client (formerly ubuntu-advantage-tools). The client constructs APT source files (such as /etc/apt/sources.list.d/ubuntu-.list or their DEB822 equivalents) using data received directly from the contract server response via the directives.suites[] and directives.aptURL fields. Because the client utilizes Python's str.format() to write these files without performing escaping, validation, or newline character filtering, a malicious or tampered contract response containing embedded newline (\n) characters can successfully inject arbitrary, attacker-controlled deb configuration lines into root-owned APT sources. When combined with the unvalidated additionalPackages[] field—which is passed positionally into a root-executed apt-get install command—an attacker capable of spoofing or manipulating the contract response (e.g., via a compromised internal infrastructure, an intercepted connection utilizing a trusted CA, or local logical bugs) can force the client to fetch and install malicious packages. This ultimately leads to arbitrary code execution with root privileges on the affected system. This component is preinstalled on supported Ubuntu Server releases and auto-attaches by default on cloud provider Ubuntu Pro images.

Controle de acesso quebrado no componente devLXDInstancePatchHandler do Canonical LXD permite que um convidado não confiável monte, leia e sobrescreva o volume de armazenamento personalizado de outro convidado por meio de uma requisição PATCH de dispositivo elaborada sobre /dev/lxd quando security.devlxd.management.volumes está habilitado.

Foi identificado um problema no Canonical ADSys nas versões upstream até a v0.16.2. Durante o auto-registro de certificados do Active Directory Certificate Services (AD CS) por meio do script cliente Samba vendorizado (internal/policies/certificate/python/vendor_samba/gp/gp_cert_auto_enroll_ext.py), o ADSys utiliza uma conexão HTTP sem criptografia (http://) em vez de uma conexão HTTPS segura (https://) para solicitar o certificado da CA ao servidor AD CS (GetCACert). Um atacante de rede não autenticado posicionado entre o host Ubuntu gerenciado e o nome de host da CA configurada no AD CS pode realizar um ataque de Man-in-the-Middle (MITM). Ao interceptar a requisição HTTP em texto claro, o atacante pode fornecer um certificado de Root CA arbitrário, controlado por ele. Como o sistema aceita automaticamente esse certificado e o registra no repositório de confiança local do sistema via update-ca-certificates, isso resulta em envenenamento do repositório de confiança de todo o sistema. Consequentemente, clientes TLS que utilizam o repositório de confiança do sistema operacional na máquina afetada aceitarão certificados falsos para domínios arbitrários, permitindo a descriptografia e interceptação persistentes de conexões TLS subsequentes. Este problema foi resolvido na versão v0.16.3.