{"id":123,"date":"2026-11-02T07:44:27","date_gmt":"2026-11-02T06:44:27","guid":{"rendered":"https:\/\/mspbusiness.com\/de\/it-nachrichten\/patchwork-montag-2-november\/"},"modified":"2026-11-02T15:52:35","modified_gmt":"2026-11-02T14:52:35","slug":"patchwork-montag-2-november","status":"publish","type":"post","link":"https:\/\/mspbusiness.com\/de\/security\/patchwork-montag-2-november\/","title":{"rendered":"Patchwork \u2013 Montag, 2. November"},"content":{"rendered":"

In dieser Ausgabe geht es um eine einzige L\u00fccke, allerdings um eine schwerwiegende: In Canonical LXD und MicroCloud kann sich ein Angreifer als vertrauensw\u00fcrdiger Client anmelden, ohne den zugeh\u00f6rigen Private Key zu besitzen. Die L\u00fccke erreicht den H\u00f6chstwert von 10,0, Patches sind verf\u00fcgbar, eine Ausnutzung ist bislang nicht gemeldet.<\/strong><\/p>\n

LXD und MicroCloud: Angreifer meldet sich ohne Private Key als vertrauensw\u00fcrdiger Client an<\/h4>\n\n\n\n\n\n\n\n
Schwachstelle<\/td>\nUmgehung der Authentifizierung durch fehlerhafte Pr\u00fcfung von Client-Zertifikatsketten im HTTPS-Listener von Canonical LXD (verwundbar bis einschlie\u00dflich 4.0.14, 5.0.10, 5.21.8 und 6.9) und MicroCloud. Der Incus-Fork weist dasselbe Problem auf<\/td>\n<\/tr>\n
CVE-Nummer<\/td>\nCVE-2026-112816<\/td>\n<\/tr>\n
CVSS-Score<\/td>\n10,0<\/td>\n<\/tr>\n
Aktiv ausgenutzt<\/td>\nNein. Laut einer CISA-Bewertung im CVE-Eintrag vom 30. Oktober ist keine Ausnutzung bekannt, die L\u00fccke steht nicht im KEV-Katalog und es gibt keinen \u00f6ffentlichen Exploit<\/td>\n<\/tr>\n
Patch verf\u00fcgbar<\/td>\nJa. LXD 6.10.1, 5.21.9, 5.0.11 und 4.0.15, MicroCloud 3.4.1 und 2.1.5, Incus 7.6.0. Einen Workaround gibt es nicht, beschr\u00e4nken Sie bis dahin den Netzwerkzugriff auf die API<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Wie kann die Schwachstelle ausgenutzt werden?<\/strong><\/p>\n

LXD und MicroCloud nutzen gegenseitiges TLS: Ein Client legt ein Zertifikat vor, und der Server vertraut ihm, wenn das Zertifikat im Trust Store hinterlegt ist. Laut dem Advisory von Canonical<\/a> glich der Server s\u00e4mtliche vom Client \u00fcbermittelten Zertifikate mit diesem Store ab, obwohl nur das erste Zertifikat der Kette belegt, dass der Client den zugeh\u00f6rigen Schl\u00fcssel besitzt. Ein Angreifer h\u00e4ngt das \u00f6ffentliche Zertifikat eines vertrauensw\u00fcrdigen Clients hinter ein eigenes Zertifikat und wird als dieser Client akzeptiert. Dieses \u00f6ffentliche Zertifikat ist nicht geheim. Bei MicroCloud liegt der Schwachpunkt beim Beitritt zu einem Cluster: Wer das Zertifikat eines beitretenden Mitglieds abf\u00e4ngt, kann sich als dieses Mitglied anmelden. Gemeldet wurde die L\u00fccke vom Incus-Projekt, wie The Hacker News<\/a> berichtet.<\/p>\n

Welche Folgen kann das haben?<\/strong><\/p>\n

Der Angreifer agiert als der imitierte Client, mit Zugriff auf den Cluster und die virtuellen Maschinen. Bei einem privilegierten Client kann das laut Canonical Root-Zugriff auf den Host bedeuten. Voraussetzung ist Netzwerkzugriff auf die HTTPS-API. Eine eigenst\u00e4ndige LXD-Installation lauscht standardm\u00e4\u00dfig nur auf einem lokalen Socket, sofern ein Administrator die Netzwerk-API nicht mit core.https_address<\/em> aktiviert hat. Am st\u00e4rksten gef\u00e4hrdet sind daher Cluster, MicroCloud-Umgebungen und Hosts, deren API breit erreichbar ist. Die LXD-Pakete aus dem Ubuntu-Archiv sind nicht betroffen, der Fix steckt in den Snaps.<\/p>\n

Was sollten IT-Administratoren jetzt tun?<\/strong><\/p>\n

Aktualisieren Sie LXD und MicroCloud mit sudo snap refresh lxd<\/em> und sudo snap refresh microcloud<\/em> und pr\u00fcfen Sie anschlie\u00dfend die installierte Version. Canonical zufolge wurden die LXD-Releases noch vom Candidate- in den Stable-Kanal ausgerollt, ein Refresh auf dem Stable-Kanal liefert also m\u00f6glicherweise nicht sofort die gepatchte Version. Ermitteln Sie, welche Hosts die API \u00fcber das Netzwerk bereitstellen, und schotten Sie diese gegen alles au\u00dferhalb Ihres Verwaltungsnetzes ab, bis der Patch installiert ist. Wenn Sie Incus einsetzen, wechseln Sie auf Version 7.6.0.<\/p>\n","protected":false},"excerpt":{"rendered":"

In Canonical LXD und MicroCloud kann sich ein Angreifer ohne Private Key als vertrauensw\u00fcrdiger Client anmelden. Die L\u00fccke erreicht 10,0, Patches liegen vor, Ausnutzung ist noch nicht gemeldet.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"mspb_bron_id":1169504,"mspb_url_nl":"https:\/\/mspbusiness.com\/security-en-privacy\/patchwork-maandag-2-november\/","mspb_url_de":"","mspb_url_en":"https:\/\/mspbusiness.com\/en\/security\/patchwork-monday-2-november\/","mspb_beeld_url":"https:\/\/mspbusiness.com\/wp-content\/uploads\/2026\/09\/patchwork-R.png","mspb_beeld_klein":"https:\/\/mspbusiness.com\/wp-content\/uploads\/2026\/09\/patchwork-R-400x225.png","mspb_auteur":"Redactie","mspb_beeld_alt":"","mspb_video":"","_yoast_wpseo_metadesc":"LXD und MicroCloud: Kritische L\u00fccke (CVSS 10,0) l\u00e4sst Angreifer ohne Private Key als vertrauensw\u00fcrdigen Client einloggen. Patches f\u00fcr alle Zweige bereit.","footnotes":""},"categories":[3],"tags":[],"layout":[6],"class_list":["post-123","post","type-post","status-publish","format-standard","hentry","category-security","layout-news"],"_links":{"self":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts\/123","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/comments?post=123"}],"version-history":[{"count":1,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts\/123\/revisions"}],"predecessor-version":[{"id":124,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts\/123\/revisions\/124"}],"wp:attachment":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/media?parent=123"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/categories?post=123"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/tags?post=123"},{"taxonomy":"layout","embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/layout?post=123"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}