Celah LXD Bernilai CVSS 10,0 Bisa Dipakai Menyamar sebagai Klien Tepercaya, Patch Sudah Terbit

Sertifikat publik milik klien tepercaya bukan rahasia, dan di situlah masalahnya. Celah di LXD membuat penyerang tak perlu mencuri kunci privat apa pun, cukup menempelkan sertifikat itu di belakang miliknya sendiri.

Canonical menambal kerentanan CVE-2026-112816 di LXD dan MicroCloud, berupa validasi sertifikat yang keliru pada pendengar HTTPS. Celah ini bernilai CVSS 10,0, skor maksimum, dan memungkinkan penyerang tanpa autentikasi masuk sebagai klien tepercaya mana pun yang sertifikat publiknya dimiliki, menurut laporan The Hacker News pada Minggu (1/11/2026).

Rantai Sertifikat yang Dicek Terlalu Longgar

Menurut The Hacker News, server memeriksa setiap sertifikat yang disodorkan klien terhadap daftar sertifikat tepercaya. Koneksi TLS sebenarnya hanya membuktikan klien memegang kunci privat milik sertifikat paling ujung (leaf), sementara sisa rantainya dipilih sendiri oleh klien. Penyerang bisa menambahkan sertifikat publik klien tepercaya di belakang sertifikatnya, lalu diterima sebagai klien tersebut.

Syaratnya dua: akses jaringan ke API HTTPS dan sertifikat publik milik klien tepercaya. Dalam deskripsi catatan CVE, Canonical sebagai penerbit skor memberi vektor CVSS 4.0 dengan akses jaringan, kompleksitas rendah, tanpa hak istimewa, dan tanpa interaksi pengguna.

Dampaknya Bisa Sampai Akses Root ke Host

Penyerang yang lolos bisa bertindak sebagai klien yang ditiru dan mendapat akses ke klaster beserta mesin virtual di dalamnya. Jika klien itu punya hak istimewa, Canonical menyebut penyerang berpotensi mendapat akses root ke mesin host.

LXD mandiri hanya terbuka lewat jaringan bila opsi core.https_address diatur. Jika tidak, layanan hanya mendengarkan di soket lokal. Pada MicroCloud, penyerang yang menangkap sertifikat publik anggota saat bergabung ke klaster bisa masuk sebagai anggota tersebut.

Empat Cabang LXD dan Dua Cabang MicroCloud Mendapat Perbaikan

Versi terdampak menurut catatan CVE adalah LXD 4.0.14, 5.0.10, 5.21.8, dan 6.9.0, masing-masing sebelum versi perbaikannya. Perbaikan tersedia di LXD 6.10.1, 5.21.9, 5.0.11, dan 4.0.15. Untuk MicroCloud, versi aman adalah 3.4.1 (kanal 3/stable) dan 2.1.5 (kanal 2/stable). Paket LXD di arsip Ubuntu tercatat tidak terdampak, sehingga perbaikan datang lewat snap.

Proyek Incus, cabang dari LXD, juga memperbaiki celah ini di versi 7.6.0 bersama 17 isu keamanan lain. Incus menyatakan tidak ada perbaikan lewat konfigurasi, sehingga akses jaringan ke pendengar API harus dibatasi. Penemuan ini berasal dari Incus dan dikonfirmasi Canonical berdampak pula ke LXD, sebagaimana tertulis dalam advisori keamanan Canonical. Catatan CVE mencantumkan Stéphane Graber sebagai pelapor.

Belum Ada Bukti Eksploitasi, tapi Tak Ada Jalan Pintas

Berdasarkan penilaian Cybersecurity and Infrastructure Security Agency (CISA) bertanggal 30 Oktober yang dirujuk The Hacker News, celah ini tidak diketahui dieksploitasi. Ia tidak masuk daftar Known Exploited Vulnerabilities (KEV) dan belum ada kode eksploit yang dipublikasikan.

Canonical tidak menyediakan solusi sementara untuk LXD. Administrator diminta menjalankan pembaruan lewat perintah snap refresh untuk LXD dan MicroCloud, lalu memeriksa versi terpasang, karena rilis perbaikan LXD masih bergerak dari kanal candidate ke stable saat advisori terbit. Membatasi siapa yang bisa menjangkau API mengurangi risiko selama menunggu patch terpasang. Kasus lain yang baru-baru ini menyasar perangkat jaringan perusahaan dibahas di artikel soal malware KeyDrift.

Yang masih terbuka adalah apakah pelaku akan membuat kode eksploit dari rincian teknis yang kini sudah publik, dan seberapa banyak instalasi LXD yang membuka API ke jaringan masih berjalan tanpa patch.