ב-25 בספטמבר 2026 פרסם פרויקט Incus תשע אזהרות אבטחה, ושחרר באותו יום את גרסה 7.5.0 שמתקנת אותן. מזהי ה-CVE נרשמו ב-NVD רק ב-22 באוקטובר, 27 יום אחר כך. שתיים מהן קיבלו 9.9, והן הופכות מי שמותר לו ליצור container אחד ל-root על המארח.

סקירה כללית

Incus הוא מנהל container-ים ומכונות וירטואליות ללינוקס, fork של LXD שמתוחזק תחת Linux Containers. מי שמריץ אותו לכמה לקוחות מחלק את השרת ל-projects ונותן לכל אחד תעודת TLS שמוגבלת ל-project שלו. ההנחה היא שהגבול אטום.

חמש מהתשע שוברות אותו, כל אחת במקום אחר. שלוש לדוגמה: מפתחות דלי האחסון, שדה הגדרות שנגרר לתוך mkfs שרצה כ-root, ופעולה שמחזירה סודות של project אחר. שישית עוקפת אימות חתימה בשרת ה-S3 המובנה, ושלוש האחרונות כותבות קבצים על המארח.

מזהים: CVE-2026-115370, CVE-2026-115371, CVE-2026-115372, CVE-2026-115373, CVE-2026-115374, CVE-2026-115375, CVE-2026-115376, CVE-2026-115377, CVE-2026-115378
סוג: חמש עקיפות הרשאה (CWE-863, CWE-522, CWE-88, CWE-862, CWE-284), שתיים דרך קישור סמלי (CWE-59), Path Traversal (CWE-22), עקיפת אימות חתימה (CWE-347)
מוצר: Incus
גרסאות מושפעות: הרחב שבטווחים הוא כל מה שלפני 6.0.7, מ-6.1.0 עד 7.0.2 ומ-7.1.0 עד 7.5.0
גרסה מתוקנת: 6.0.7, 7.0.2 או 7.5.0, לפי הענף
ניצול בפועל: לא, אף אחת אינה בקטלוג ה-KEV של CISA

ציר זמן

25 בספטמבר 2026: Incus מפרסם תשע אזהרות אבטחה ומשחרר את 7.5.0. לאף אחת מהאזהרות אין מזהה CVE.
22 באוקטובר 2026: תשעת המזהים נרשמים ב-NVD, והמקור שרשום להם הוא VulnCheck.
24 באוקטובר 2026: דף האזהרות בגיטהאב עדיין בלי מזהי CVE.

איך הניצול עובד

כשמייבאים גיבוי של instance, Incus קורא קובץ index.yaml ובתוכו שמות של volume-ים נלווים. את שם ה-instance ואת שמות ה-snapshot-ים הוא בודק, את אלה לא, והם נכנסים ישר לנתיב שבו הוא יוצר תיקיות. מי שרושם שם רצף של ../ יוצא מתיקיית האחסון וכותב תיקיות בבעלות root, עם תוכן לבחירתו, בכל מקום על המארח. לסוג החולשה הזה קוראים Path Traversal, והאזהרה מוסיפה שבדיקת השמות מתיקונים קודמים אינה מכסה אותו.

השנייה בציון 9.9 יושבת בהעברת instance בין שרתים. את הזרם הנכנס Incus מעביר ל-rsync או ל-btrfs receive, ושניהם כותבים דרך קריאות מערכת שהולכות אחרי קישור סמלי. צד מקור זדוני שותל קישור בשם rootfs שמצביע לשורש המארח, וכל מה שנכתב דרכו נוחת שם בהרשאות root. הבדיקה שנוספה ב-7.3 רצה אחרי שההעברה נגמרה. כלומר אחרי שהכתיבה כבר קרתה.

ניתוח ציון ה-CVSS

ציון CVSS: 9.9

לשתיים האלה צריך בדיוק מה שצריך לחולשה שקיבלה 4.3 באותה חבילה: תעודה מוגבלת ל-project אחד. מה שמפריד ביניהן הוא לאן הנזק מגיע, כי כאן הוא לא נשאר ב-project אלא נוחת על המארח שמריץ את כולם.

איפה למצוא Proof of Concept (PoC)

קוד ניצול ציבורי לא פורסם, והפירוט הטכני נמצא באזהרות עצמן. GHSA-hpjh-q53p-f27r מתארת את החולשה בייבוא הגיבוי ברמת הפונקציה, כולל איך מפצלים את רצף ה-../ בין שדה ה-pool ושדה ה-source.

מי שמחלק תעודות מוגבלות ולא עדכן מאז ספטמבר חשוף לתשע כבר חודש, וההתראה שאמורה הייתה להגיד לו את זה נרשמה רק השבוע.