Lỗ hổng xác thực chứng chỉ nghiêm trọng trong LXD và Incus: Nguy cơ chiếm quyền điều khiển

• Lỗ hổng nghiêm trọng: Lỗi xác thực chứng chỉ trong HTTPS management listener của LXD và Incus cho phép kẻ tấn công vượt qua kiểm soát truy cập.
• Tác động: Kẻ tấn công có thể chiếm quyền điều khiển toàn bộ cluster và máy ảo mà không cần mật khẩu hay khóa riêng tư.
• Điểm CVSS: Incus đánh giá lỗ hổng này ở mức 10.0 (Critical).
• Khắc phục: Người dùng cần cập nhật ngay lên các phiên bản đã vá lỗi được nhà cung cấp công bố.

Các nhà nghiên cứu bảo mật vừa công bố thông tin về một lỗ hổng xác thực chứng chỉ nghiêm trọng ảnh hưởng đến LXD và Incus. Lỗ hổng này cho phép kẻ tấn công từ xa vượt qua các cơ chế kiểm tra đăng nhập, từ đó chiếm quyền điều khiển các cluster và máy ảo (VM) được quản lý. Điểm đáng chú ý là cuộc tấn công không yêu cầu mật khẩu, khóa riêng tư bị đánh cắp hay bất kỳ sự tương tác nào từ người dùng.

Phân tích kỹ thuật về lỗ hổng xác thực chứng chỉ

Vấn đề cốt lõi nằm ở cách thức dịch vụ thực hiện kiểm tra chứng chỉ trong quá trình thiết lập kết nối HTTPS. Trong giao thức TLS, quá trình bắt tay (handshake) nhằm xác minh rằng máy khách (client) sở hữu khóa riêng tư tương ứng với chứng chỉ đầu tiên được gửi đi. Tuy nhiên, các chứng chỉ còn lại trong chuỗi (chain) do máy khách kiểm soát lại không được xác thực một cách chặt chẽ.

Cơ chế xác thực hiện tại so sánh mọi chứng chỉ trong chuỗi được gửi với kho lưu trữ tin cậy (trust store) của máy chủ. Điều này tạo ra một khoảng trống bảo mật giữa việc chứng minh quyền sở hữu chứng chỉ và việc chấp nhận danh tính của nó. Kẻ tấn công có thể đính kèm phần công khai của một chứng chỉ tin cậy vào chuỗi chứng chỉ của riêng chúng và được hệ thống chấp nhận là chủ sở hữu, mặc dù thực tế kẻ tấn công không hề sở hữu khóa riêng tư tương ứng.

Chi tiết về CVE-2026-112816 và tác động

Canonical đã công bố bản ghi liên quan cho LXD với mã CVE-2026-112816 vào ngày 30 tháng 10. Mặc dù Ubuntu xếp hạng lỗ hổng này ở mức độ ưu tiên Trung bình, nhưng bản chất của nó cho phép kẻ tấn công không cần xác thực có thể truy cập toàn bộ cluster và máy ảo. Dưới đây là bảng tổng hợp các thông tin kỹ thuật chính:

Vì các chứng chỉ công khai không phải là bí mật và máy chủ thường trả về chứng chỉ của chính nó trong quá trình bắt tay TLS, kẻ tấn công không cần có tài khoản tồn tại trước đó để lấy được chứng chỉ. Theo các chuyên gia, việc trình bày chứng chỉ của chính máy chủ sẽ cấp quyền truy cập vào cổng cơ sở dữ liệu (database gateway), trong khi trình bày chứng chỉ của một thành viên khác trong cluster sẽ cấp quyền truy cập nội bộ và vượt qua hoàn toàn các bước ủy quyền.

Phạm vi ảnh hưởng và các thành phần liên quan

Lỗ hổng này không chỉ giới hạn ở các container mà còn nhắm vào lớp quản lý tin cậy (trusted management layer) điều khiển quyền truy cập vào toàn bộ môi trường. Các thành phần bị ảnh hưởng bao gồm:

• Chứng chỉ khách hàng, chỉ số và máy chủ: Kẻ tấn công có thể mạo danh các thực thể này nếu có chứng chỉ công khai tương ứng.
• Cơ chế quản lý trust store: Lỗ hổng cho phép thực hiện các thao tác gia hạn hoặc xóa các mục trong kho lưu trữ tin cậy thông qua các đường dẫn tự phục vụ.
• Kết nối tác nhân (Agent connection): Ảnh hưởng đến xác thực giữa máy chủ vật lý và máy ảo.
• Script ủy quyền (Authorization scriptlet): Việc truyền chuỗi chứng chỉ chưa được xác minh vào script này cho phép kẻ tấn công thao túng các quyết định truy cập.

Khuyến nghị phòng thủ và khắc phục

Incus đã liệt kê các phiên bản trước 7.6.0 là bị ảnh hưởng và phiên bản 7.6.0 trở đi đã được vá. Đối với LXD, Canonical đã xác định các bản sửa lỗi trong các phiên bản 4.0.15, 5.0.11, 5.21.9 và 6.10.1. Quản trị viên hệ thống cần kiểm tra phiên bản hiện tại và thực hiện cập nhật ngay lập tức.

⚠️ Cảnh báo quan trọng: Hiện tại không có cấu hình nào có thể khắc phục triệt để lỗi xác thực này. Việc hạn chế quyền truy cập vào listener HTTPS thông qua Firewall chỉ là giải pháp giảm thiểu tạm thời, không thay thế được việc cập nhật bản vá chính thức từ nhà cung cấp.

Để tìm hiểu thêm về các tiêu chuẩn bảo mật container, bạn có thể tham khảo tài liệu từ CISA về bảo vệ môi trường hạ tầng ảo hóa. Việc duy trì quy trình cập nhật bản vá định kỳ là yếu tố then chốt để ngăn chặn các cuộc tấn công khai thác lỗ hổng 1-day như trường hợp này.