つみかさね

CVE-2026-48751

Critical(9.8)

Incusの制限プロジェクトバイパス脆弱性 CVE-2026-48751：影響範囲と対応方法

公開日: 2026-11-07データソース: NVD, GitHub Advisory

影響を受けるソフトウェア

製品ベンダー影響バージョン
Incuslxc< 7.2.0

対応ガイド

high|対応必須セキュリティ修正影響: 広範

推奨アクション

  1. 1`incus version` でサーバーのバージョンを確認する
  2. 2v7.2.0以降へアップデートする
  3. 3アップデートが難しい場合は信頼できないユーザーへの制限プロジェクト権限付与を見直す

影響対象

Incus利用者（特にマルチテナント運用）

対応不要な人

  • ✓Incusを使用していない
  • ✓すでにv7.2.0以降を使用している
  • ✓制限プロジェクト機能を使わず、信頼できる管理者のみが利用している

補足

  • -Incusでは同時期にシンボリックリンクや引数インジェクションに起因する同種のCritical脆弱性が複数公開されています。まとめてv7.2.0へのアップデートを推奨します
CVEIncusGoコンテナ権限昇格

30秒で判断

  • 対応すべき人: Incus（コンテナ/VM管理基盤）でマルチプロジェクト・マルチテナント運用をしている人
  • 対応不要な人: Incusを利用していない人、またはシングルプロジェクトのみで利用している人
  • 確認コマンド: incus version でサーバーのバージョンを確認

概要

Incusでは「制限されたプロジェクト」からアクセスできる操作を制限する仕組みがありますが、この制限をバイパスし、ホスト側で任意のコマンドを実行できる不備が確認されました。同時期にシンボリックリンクや引数インジェクションに起因する同種のCritical脆弱性が複数公開されており、まとめて対応することを推奨します。

CVSSベクトル

項目値
深刻度Critical
スコア9.8相当（GHSA severity: CRITICAL）

※ GHSAでは詳細なCVSSベクトル文字列は公開されていません。

影響を受けるソフトウェア

製品エコシステム影響バージョン
github.com/lxc/incus/v7/cmd/incusdGo< 7.2.0

修正バージョンと回避策

  • v7.2.0 以降へアップデートしてください。
  • アップデートが難しい場合は、信頼できないユーザーに制限プロジェクトの作成・利用権限を与えないことを検討してください。

関連リンク

データソース: NVD (NIST), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。

関連する脆弱性

CVE-2026-48749Incusのrootfsシンボリックリンクによるファイル読み書きCVSS 9.8
CVE-2026-48750Incusのexec-outputシンボリックリンクによるファイル書き込みCVSS 9.8
CVE-2026-48769Incusの信頼済みイメージハッシュによるファイル書き込みCVSS 9.8
CVE-2026-48755Incusのバックアップ圧縮における引数インジェクションCVSS 9.8
CVE-2026-48752Incusのtemplatesシンボリックリンクによるファイル読み書きCVSS 9.8

参考リンク

GHSA:https://github.com/lxc/incus/security/advisories/GHSA-48q5-w887-33wv
NVD:https://nvd.nist.gov/vuln/detail/CVE-2026-48751
Xでシェアはてブ
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC), CISA Known Exploited Vulnerabilities Catalog
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。