Sebuah kerentanan dengan tingkat keparahan kritis pada platform LXD dan MicroCloud besutan Canonical memungkinkan peretas masuk sebagai klien tepercaya tanpa memerlukan kunci privat milik klien tersebut. Agar aksi ini berhasil, pihak penyerang hanya perlu menjangkau antarmuka HTTPS API melalui jaringan dan mengantongi sertifikat publik sah milik klien tepercaya target.
Setelah berhasil menerobos sistem, pelaku kejahatan siber dapat bertindak seolah-olah sebagai klien asli, lengkap dengan hak akses penuh ke kluster beserta seluruh mesin virtual di dalamnya. Apabila akun yang dipalsukan memiliki hak istimewa tinggi, penyerang bahkan mampu memperoleh "root access to the host machine," demikian konfirmasi resmi dari Canonical.
Celah keamanan ini dilacak melalui kode identifikasi CVE-2026-112816 dengan skor risiko CVSS maksimal 10.0. Menanggapi temuan berbahaya ini, Canonical telah menerbitkan pembaruan patch untuk kedua produk terdampak tersebut.
Mekanisme Kerja Kerentanan
Pada dasarnya, perangkat lunak LXD dan MicroCloud mengizinkan klien jarak jauh mengakses API melalui protokol mutual TLS. Dalam arsitektur keamanan ini, klien wajib menyodorkan sertifikat digital guna memvalidasi identitas mereka. Klien dinyatakan sah atau tepercaya jika sertifikatnya tersimpan rapi dalam trust store server, yaitu daftar identitas resmi yang disetujui untuk diterima oleh sistem.
Kelemahan fatal terletak pada bagaimana mekanisme server memverifikasi berkas sertifikat yang masuk. Server secara keliru mencocokkan setiap sertifikat yang dikirimkan klien terhadap daftar trust store. Padahal, koneksi TLS standar hanya membuktikan bahwa klien benar-benar menguasai kunci privat untuk sertifikat urutan pertama pada rantai, yaitu leaf certificate. Sisa rantai berikutnya hanyalah berkas sertifikat tambahan yang bebas disematkan oleh pihak klien.
Akibatnya, pelaku dapat dengan mudah mengambil sertifikat publik klien tepercaya yang sejatinya memang tidak bersifat rahasia. Sertifikat tersebut kemudian dilampirkan tepat di belakang sertifikat milik pelaku sendiri, sehingga server otomatis teperdaya dan langsung menyetujui akses mereka.
Siapa Saja yang Terkena Dampak?
Pemanfaatan kerentanan ini secara teknis menuntut dua faktor prasyarat utama: adanya akses jaringan langsung menuju HTTPS API, serta kepemilikan sertifikat publik dari klien yang telah diakui oleh trust store server target.
Secara baku, instalasi mandiri server LXD tidak serta-merta membuka akses API tersebut ke publik. Layanan ini hanya mendengarkan perintah pada soket lokal secara internal, kecuali pihak administrator secara sadar mengaktifkan API jaringan menggunakan pengaturan konfigurasi core.https_address.
Sementara itu, MicroCloud yang berfungsi menghubungkan sejumlah mesin LXD menjadi satu kesatuan kluster memiliki kelemahan yang sangat spesifik. Pihak Canonical mengungkapkan bahwa penyerang yang berhasil menyadap atau merekam sertifikat publik milik suatu node anggota saat proses bergabung ke kluster dapat memanfaatkannya untuk masuk sebagai anggota tersebut secara ilegal.
Catatan resmi CVE merinci beberapa versi rentan, meliputi LXD rilis 4.0.14, 5.0.10, 5.21.8, dan 6.9, khususnya versi sebelum paket perbaikan resmi digulirkan. Canonical telah mendaftarkan daftar versi snap perbaikan untuk menutup celah ini.
Penemuan kutu perangkat lunak ini mulanya bukan berasal dari tim internal Canonical. Proyek Incus, proyek fork komunitas mandiri dari LXD, pertama kali melaporkan masalah ini, yang kemudian dikonfirmasi oleh Canonical turut memengaruhi ekosistem LXD. Proyek Incus telah menambal bug serupa pada rilis versi 7.6.0.
Paket arsip bawaan sistem operasi Ubuntu untuk LXD dinyatakan tidak terdampak atau tidak didistribusikan, sehingga seluruh pembaruan resmi disalurkan secara eksklusif lewat kanal paket snap.
Hingga saat ini, belum ada bukti publik yang mengindikasikan eksploitasi aktif celah tersebut di dunia nyata. Berdasarkan penilaian badan keamanan siber AS CISA tertanggal 30 Oktober, kerentanan belum terbukti dimanfaatkan peretas, belum tercatat pada daftar Known Exploited Vulnerabilities, dan belum ada kode eksploitasi fungsional yang beredar.
Para pengelola sistem sangat disarankan segera memperbarui LXD dan MicroCloud ke versi terbaru yang aman. Pengguna instalasi snap dapat mengeksekusi perintah sudo snap refresh lxd serta sudo snap refresh microcloud.
Canonical mengingatkan bahwa rilis perbaikan berkala LXD masih dalam tahap peluncuran bertahap dari kanal candidate menuju kanal stable saat buletin diterbitkan. Oleh karena itu, pengelola wajib memverifikasi ulang versi yang terpasang seusai proses penyegaran.
Laporan keamanan Canonical sama sekali tidak menyediakan solusi sementara alternatif bagi instalasi LXD. Karena aksi intrusi membutuhkan akses jaringan langsung ke endpoint API, membatasi izin akses jaringan menjadi langkah mitigasi terbaik sebelum pembaruan diterapkan. Proyek Incus juga menegaskan ketiadaan opsi perbaikan lewat setelan konfigurasi, sehingga pembatasan akses pada listener merupakan satu-satunya langkah mitigasi.
Seluruh pengguna ekosistem Incus diwajibkan segera beralih ke versi 7.6.0, yang tidak hanya mengatasi kerentanan peniruan identitas ini tetapi juga menutup sebanyak 17 masalah keamanan penting lainnya.
