つみかさね

CVE-2026-28384

Critical(9.9)

Canonical LXDのコマンドインジェクション CVE-2026-28384：影響範囲と対応方法

公開日: 2026-09-19データソース: NVD, GitHub Advisory

影響を受けるソフトウェア

製品ベンダー影響バージョン
LXDCanonical4.12 - 6.6

対応ガイド

high|対応必須セキュリティ修正影響: 広範

推奨アクション

  1. 1lxd version と snap のチャンネル・リビジョンを確認する
  2. 2各stableチャンネルの修正版snap（5.0.6 / 5.21.4 / 6.7）へ更新する
  3. 3更新までは非特権ユーザーへの image/backup API 利用許可を見直す

影響対象

LXD 運用者マルチユーザーでLXD APIを提供している環境

対応不要な人

  • ✓LXD を使用していない
  • ✓4.0/stable（4.0.10）を使用中
  • ✓修正済みsnapへ更新済み

補足

  • -4.0/stable（4.0.10）は影響を受けない
CVELXDCanonicalコマンドインジェクションコンテナ

30秒で判断

  • 対応すべき人: Canonical LXD を 4.12 〜 6.6 で運用し、非特権ユーザーにimage/backup系APIの利用を許可している方
  • 対応不要な人: LXD を使用していない、4.0/stable（4.0.10）を使用中、修正済みsnapへ更新済みの方
  • 確認コマンド: lxd version および snap のチャンネル・リビジョンを確認
  • クイックアクション: 各stableチャンネルの修正版snapへ更新

概要

Canonical LXD の image / backup エンドポイントにおける compression_algorithm パラメータのサニタイズが不適切なため（CWE-78: OSコマンドインジェクション）、認証済みの非特権ユーザーがLXDサーバ上でLXDデーモンの権限として任意コマンドを実行できる可能性があります。デーモンは高い権限で動作するため、ホスト全体の掌握につながり得ます。

CVSSスコアは 9.9（Critical） です。認証は必要ですが、非特権ユーザーで悪用可能な点が深刻です。

CVSSベクトル

項目値
CVSSスコア9.9
深刻度Critical
CWECWE-78（OSコマンドインジェクション）
認証必要（非特権ユーザー）

影響を受けるソフトウェア

製品ベンダー影響バージョン
LXDCanonical4.12 〜 6.6

※ 4.0/stable チャンネル（4.0.10）は影響を受けません。

修正バージョンと回避策

以下の修正済みsnapへ更新してください。

  • 5.0/stable: 5.0.6-e49d9f4
  • 5.21/stable: 5.21.4-1374f39
  • 6.0 stable: 6.7-1f11451

更新までの間は、信頼できない非特権ユーザーに image/backup 系APIの利用を許可しない運用を推奨します。

関連リンク

ソースURL
NVDhttps://nvd.nist.gov/vuln/detail/CVE-2026-28384
GitHub Advisoryhttps://github.com/canonical/lxd/security/advisories/GHSA-4rmf-rcp8-2r9g
Ubuntu Discoursehttps://discourse.ubuntu.com/t/lxd-authenticated-remote-code-execution-fixes-available/78365

データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。

参考リンク

NVD:https://nvd.nist.gov/vuln/detail/CVE-2026-28384
GitHub Advisory:https://github.com/canonical/lxd/security/advisories/GHSA-4rmf-rcp8-2r9g
Ubuntu Discourse:https://discourse.ubuntu.com/t/lxd-authenticated-remote-code-execution-fixes-available/78365
Xでシェアはてブ
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC)
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。