LONDON (IT BOLTWISE) – Eine kritische Schwachstelle in LXD und MicroCloud ermöglicht Angreifern die Anmeldung als vertrauenswürdiger Client ohne dessen privaten Schlüssel. Voraussetzung sind Netzwerkzugriff auf die HTTPS-API und ein öffentliches Zertifikat eines bereits akzeptierten Clients. Das Problem steckt in der Prüfung von Zertifikatsketten beim gegenseitigen TLS (mTLS). Betroffen sind mehrere LXD- und MicroCloud-Snap-Releases, empfohlen wird ein Update auf die genannten Fix-Versionen.
In vielen Virtualisierungsumgebungen ist LXD das Rückgrat für Container-Workloads, und MicroCloud erweitert das Setup um ein Cluster-Management. Genau an dieser Stelle sitzt nun eine Sicherheitslücke, die von „10.0“ im Common Vulnerability Scoring System (CVSS) begleitet wird. Die Schwachstelle trägt die Kennung CVE-2026-112816 und soll es Angreifern erlauben, sich als vertrauenswürdiger Client auszugeben, obwohl sie nie den privaten Schlüssel dieses Clients besitzen. Der Kern der Gefahr liegt dabei nicht in einer einzelnen Einstellungsoption, sondern in einer grundlegenden Annahme der Authentifizierung über Zertifikate.
Technisch betrachtet läuft der Zugriff auf die APIs über HTTPS mit gegenseitigem TLS (mTLS): Der Client präsentiert ein Zertifikat, um sich gegenüber dem Server zu identifizieren. Vertrauen entsteht nur dann, wenn das Zertifikat des Clients im Trust-Store des Servers eingetragen ist. Dort steht also, welche Identitäten der Server akzeptiert. Die Schwachstelle betrifft jedoch die Art, wie der Server die Zertifikatskette prüft: Er vergleicht jedes vom Client gesendete Zertifikat gegen den Trust-Store. Da aber eine TLS-Verbindung zunächst nur sicherstellt, dass der Client zum ersten Zertifikat der Kette (dem „Leaf“-Zertifikat) den privaten Schlüssel besitzt, bleibt der Rest der Kette der freien Auswahl des Clients überlassen. Genau hier kann ein Angreifer tricksen.
Praktisch funktioniert das so: Wenn ein Angreifer das öffentliche Zertifikat eines Clients besitzt, der bereits im Trust-Store des Servers als vertrauenswürdig hinterlegt ist, kann er dieses Zertifikat als relevanten Teil der Kette verwenden. Weil das Zertifikat selbst nicht geheim sein muss, reicht oft schon das „Abgreifen“ oder Mitbekommen im laufenden Betrieb. Der Angreifer baut dann eine Zertifikatskette, in der die Position, die gegen den Trust-Store verglichen wird, dem vertrauenswürdigen Zertifikat entspricht, während der für die Kryptografie notwendige private Schlüssel nur zum Leaf-Zertifikat der Kette passen muss. Der Server akzeptiert den Angreifer dadurch fälschlich als den identifizierten Client. Wenn der vermeintliche Client privilegierte Rechte hat, kann der Angreifer laut der Beschreibung des Herstellers bis hin zu „root access to the host machine“ gelangen.
Welche Systeme wirklich betroffen sind, hängt weniger von „wen nutzt LXD?“ ab, sondern von zwei Bedingungen: Erstens muss der Angreifer die HTTPS-API netzwerkseitig erreichen können. Ein einzelner LXD-Server lauscht standardmäßig nicht im öffentlichen Netzwerk, sondern nur lokal über einen Socket; der Netzwerkzugriff muss durch eine Administrator-Einstellung wie core.https_address explizit aktiviert werden. Zweitens benötigt der Angreifer das öffentliche Zertifikat eines Clients, den der Server bereits als vertrauenswürdig akzeptiert. Bei MicroCloud kommt ein weiterer Pfad hinzu: Da mehrere Maschinen mit LXD zu einem Cluster zusammengeführt werden, kann das Erfassen eines Mitgliedszertifikats beim Join-Prozess ausreichen, um sich anschließend als dieses Cluster-Mitglied auszugeben.
Der Datensatz zur Schwachstelle nennt konkret LXD-Versionen 4.0.14, 5.0.10, 5.21.8 und 6.9 als betroffen. Fixes wurden als bestimmte Snap-Versionen bereitgestellt, aufgeteilt nach Snap-Kanälen: Für LXD 6/stable liegt die korrigierte Version bei 6.10.1, für LXD 5.21/stable bei 5.21.9, für LXD 5.0/stable bei 5.0.11 und für LXD 4.0/stable bei 4.0.15. MicroCloud wird entsprechend mit 3.4.1 (3/stable) und 2.1.5 (2/stable) aktualisiert. Der Hintergrund: Die Incus-Community, die aus einem Community-Fork von LXD hervorgegangen ist, hat die Lücke offenbar zuerst gemeldet; später hat der Hersteller bestätigt, dass LXD ebenso betroffen ist. Incus soll den Fehler dann mit Version 7.6.0 behoben haben.
Für Betreiber ist die Lage besonders handlungsorientiert: In der öffentlichen Lagebeschreibung gibt es derzeit keine Hinweise, dass die Schwachstelle bereits aktiv ausgenutzt wurde. Die Bewertung des nationalen Cyber-Sicherheits-Teams der USA (CISA) datiert auf den 30. Oktober und stuft die Schwachstelle als nicht bekannt ausgenutzt ein; zudem taucht sie nicht in der Liste „Known Exploited Vulnerabilities“ auf und es gibt nach den vorliegenden Angaben keinen veröffentlichten funktionierenden Exploit. Trotzdem gilt: Gerade bei mTLS-Fehlinterpretationen reicht eine einzelne fehlende Aktualisierung, um die Vertrauenskette imitiert werden zu lassen. Eine Übergangslösung ist laut Hersteller für LXD nicht verfügbar; die einzige praktisch wirksame Sofortmaßnahme besteht darin, den Netzwerkzugriff auf den API-Listener stark zu begrenzen und so die Angriffsbedingung zu reduzieren.
Konkrete Schritte sehen in der Praxis nach einem einfachen Update- und Verifikationszyklus aus: LXD und MicroCloud sollten auf die oben genannten Fix-Versionen aktualisiert werden. Für Snap-Installationen wird etwa „sudo snap refresh lxd“ sowie „sudo snap refresh microcloud“ empfohlen, und entscheidend ist, nach dem Refresh die tatsächlich installierte Version zu prüfen. Der Grund ist timingbedingt: Laut der Herstellerangabe liefen die Fix-Point-Releases aus dem candidate-Kanal zum stable-Kanal, sodass „Refresh“ allein nicht garantiert, dass unmittelbar die Fix-Version auf dem jeweiligen System ankommt. In der Cluster-Perspektive bleibt zusätzlich die Netzwerkhygiene zentral: Nur wer die API erreichen darf, reduziert die Angriffsfläche nachhaltig, bis das Update überall durchgelaufen ist. Und auch wenn das Thema hier nicht „KI“ im engeren Sinn ist, zeigt die Lücke zugleich, wie wichtig eine korrekte Identitätsprüfung für jedes automatisierte Infrastruktur-Ökosystem bleibt.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "CVE-2026-112816: LXD- und MicroCloud-Schwachstelle mit CVSS 10.0 erlaubt Client-Impersonation" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "CVE-2026-112816: LXD- und MicroCloud-Schwachstelle mit CVSS 10.0 erlaubt Client-Impersonation" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »CVE-2026-112816: LXD- und MicroCloud-Schwachstelle mit CVSS 10.0 erlaubt Client-Impersonation« bei Google Deutschland suchen, bei Bing oder Google News!