Canonical a publié le 28 octobre 2026 un avis critique pour LXD et MicroCloud. CVE-2026-112816 permet à un attaquant joignant l’API HTTPS d’usurper un client approuvé dont il possède le certificat public. Les correctifs annoncés concernent les infrastructures de conteneurs et de machines virtuelles administrées avec ces outils.
Une identité acceptée sans la bonne clé
Le défaut compare les certificats présentés par le client avec les identités approuvées. Il peut accepter un certificat ajouté à la chaîne, alors que l’échange TLS ne prouve la possession que de la clé du premier certificat. Un attaquant peut ainsi profiter d’une identité déjà autorisée sans connaître sa clé privée.
Le risque dépend des accès accordés
Canonical indique que les droits de la victime peuvent permettre d’atteindre le compte root de l’hôte. Dans MicroCloud, l’interception du certificat public d’un membre en cours d’ajout ouvre un chemin d’usurpation. Il ne faut donc pas réduire l’examen à la présence d’un mot de passe fort sur le compte humain.
L’analyse de la Cloud Security Alliance distingue les certificats publics des secrets cryptographiques. The Hacker News précise aussi qu’un serveur LXD autonome n’expose pas son API réseau par défaut : vérifiez la configuration réelle avant de conclure à une exposition Internet.
Installer la version du bon canal
Canonical liste LXD 6.10.1, 5.21.9, 5.0.11 et 4.0.15, ainsi que MicroCloud 3.4.1 et 2.1.5. Appliquez la mise à jour correspondant à votre canal et confirmez ensuite la version réellement exécutée sur chaque membre. L’annonce décrit un déploiement progressif des snaps; un ordre de mise à jour lancé sans contrôle du résultat n’est pas une preuve suffisante.
Demander des preuves à son prestataire
Pour une PME hébergée sur cette infrastructure, demandez les versions installées, les réseaux autorisés à joindre l’API et la liste des identités administratrices. Si l’API vulnérable était accessible à des réseaux non fiables, faites examiner les accès et les changements de machines virtuelles selon la procédure d’incident. La publication d’une faille ne prouve pas, à elle seule, que votre hébergement a été compromis.
Le lien avec Soclyde
Soclyde aide à organiser et partager les identifiants d’administration dans un coffre chiffré conservé sur les appareils. Cela facilite la transmission des accès au prestataire. Le correctif LXD et les règles réseau restent indispensables : un coffre de mots de passe ne modifie pas la validation des certificats d’une API.
À retenir
Vérifiez les versions, l’exposition HTTPS et les identités approuvées ensemble. Conservez la preuve de mise à jour de chaque nœud. Le guide du générateur de mots de passe sécurisé complète ce travail pour les comptes d’administration.
