PT-2024-37461 · Canonical · Lxd

Markylaing · Publicado 2024-12-02 · Atualizado 2025-11-13 · CVE-2024-6219

Positive Technologies (AI Summary) · Pt

CVSS v3.1

3.8

Baixa

Vetor base

AV:L/AC:L/PR:L/UI:N/S:C/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas:

Versões do LXD anteriores à 5.21.1

Descrição:

Um certificado restrito poderia ser adicionado ao armazenamento de confiança sem que suas restrições fossem respeitadas no modo PKI do LXD. Isso ocorre quando a opção de configuração core.trust ca certificates está desativada, fazendo com que as restrições aplicadas a um certificado sejam ignoradas devido à presença de um arquivo server.ca em LXD DIR. A falha permite que um cliente com um certificado restrito tenha acesso total ao LXD.

Recomendações:

Para versões anteriores à 5.21.1, atualize para a versão 5.21.1 ou posterior para resolver o problema. Como solução alternativa temporária, considere desativar o modo PKI ou ativar a opção de configuração core.trust ca certificates para permitir PKI sem senha com revogação por CRL. Restrinja o acesso ao armazenamento de confiança para minimizar o risco de exploração. Evite adicionar certificados restritos ao armazenamento de confiança até que o problema seja resolvido.

Correção

Improper Authentication

Improper Certificate Validation

Enumeração de Fraquezas

CWE-287

CWE-295

Identificadores relacionados

CVE-2024-6219

GHSA-JPMC-7P9C-4RXF

GO-2024-3313

OPENSUSE-SU-2024:14567-1

Produtos afetados

Lxd

Referências · 40

• https://github.com/canonical/lxd · Nota
• https://github.com/canonical/lxd/security/advisories/GHSA-jpmc-7p9c-4rxf · Aviso do Fabricante
• https://github.com/canonical/lxd/pull/12313 · Nota
• https://github.com/canonical/lxd/commit/5cdc9a35b9c51e981b1e70330bde0413ccacc7fd · Nota
• https://pkg.go.dev/vuln/GO-2024-3313 · Nota
• https://suse.com/security/cve/CVE-2024-36620 · Nota
• https://t.me/cvedetector/12162 · Publicação no Telegram
• https://osv.dev/vulnerability/UBUNTU-CVE-2024-6219 · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2024-6538 · Nota
• https://osv.dev/vulnerability/CVE-2024-6219 · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2024-54131 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-6219 · Nota de Segurança
• https://suse.com/security/cve/CVE-2024-6156 · Nota
• https://suse.com/security/cve/CVE-2024-45719 · Nota
• https://lists.opensuse.org/archives/list/[e-mail]/thread/EK3MV2UFLDNRIXIWLVT5CJNSLB2MKFBU · Nota