Canonical LXD e MicroCloud · Divulgada

Falha CVSS 10.0 no LXD e no MicroCloud permite suplantar cliente confiável

01 de nov. de 2026 · 1 min de leitura

Falha crítica com CVSS 10.0 no LXD e no MicroCloud, da Canonical, permite que um atacante entre como cliente confiável sem ter a chave privada. Ele precisa alcançar a API HTTPS pela rede e ter o certificado público do cliente; autenticado, age como esse cliente, com acesso ao cluster e às máquinas virtuais. A fonte não menciona correção nem exploração em curso; restrinja o acesso de rede à API HTTPS.

Por Redação HIFY Radar Atualizado 01/11/2026 06:39 Receba isso todo dia →← Voltar ao feed 1 fonte

AltaFalhaDivulgadaCorreção a confirmar

Neste artigo

O que aconteceu
Por que importa
O que fazer
Para o time técnico
Linha do tempo
Fontes

O que aconteceu

Uma falha crítica (CVSS 10.0) no LXD e no MicroCloud, da Canonical, permite que um atacante se passe por um cliente confiável sem ter a chave privada dele. Autenticado, o atacante age como esse cliente, com acesso ao cluster e às máquinas virtuais.

Por que importa

Se a API HTTPS do LXD ou do MicroCloud estiver alcançável pela rede, alguém com o certificado público de um cliente assume o acesso dele: o cluster e suas máquinas virtuais. Ambientes de virtualização e nuvem privada que usam esses produtos ficam expostos.

O que fazer

Restrinja quem pode alcançar a API HTTPS do LXD e do MicroCloud na rede, com firewall ou rede isolada. Revise os clientes confiáveis cadastrados e acompanhe a correção da Canonical.

Para o time técnico

Afetados: Canonical LXD e MicroCloud · LXD e MicroCloud, da Canonical. Versões não informadas pela fonte.
Exploração: Apenas divulgada. A fonte (The Hacker News) não relata exploração em curso nem prova de conceito pública.
Correção: Não informado pela fonte.
Vetor: Autenticação de clientes na API HTTPS do LXD e do MicroCloud. A falha permite entrar como cliente confiável sem a chave privada. Condições de exploração: alcançar a API HTTPS pela rede e ter o certificado público do cliente confiável.
Mais detalhes: Gravidade CVSS 10.0, segundo The Hacker News. Conectado, o atacante passa a agir como o cliente suplantado, com acesso ao cluster e às máquinas virtuais.