Incus: Fehlerhafte Token-Prüfung im incus-webui-Webserver

Beschreibung

In Incus vor Version 6.23.0 validiert der von incus webui gestartete lokale Webserver das Authentifizierungs-Token fehlerhaft, sodass auch ein ungültiger Wert akzeptiert wird. Ein Angreifer, der den temporären Webserver auf localhost erreichen kann, erhält dadurch denselben Zugriff auf Incus wie der Benutzer, der incus webui gestartet hat, was zu lokaler Rechteausweitung führen kann. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 6.23.0.

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Incus / LXD

• Linux Kernel – Incorrect Resource Transfer Between Spheres (Copy Fail) KEV CVE-2026-31431
• Linux Kernel – Integer Overflow KEV CVE-2018-14634
• Sudo Inclusion of Functionality from Untrusted Control Sphere KEV CVE-2025-32463
• Linux Kernel – Improper Ownership Management KEV CVE-2023-0386
• regreSSHion – OpenSSH Remote Code Execution CVE-2024-6387
• ImageMagick – Improper Input Validation KEV CVE-2016-3714