CVE-2026-33898 in incus
Zusammenfassung
von VulDB • 20.05.2026
Incus ist ein Systemcontainer- und Virtual-Machine-Manager. Vor Version 6.23.0 validiert der von `incus webui` gestartete Webserver das Authentifizierungstoken fehlerhaft, sodass auch ungültige Werte akzeptiert werden. `incus webui` startet einen lokalen Webserver auf einem zufälligen localhost-Port. Zur Authentifizierung stellt er dem Benutzer eine URL bereit, die ein Authentifizierungstoken enthält. Bei Zugriff mit diesem Token erstellt Incus ein Cookie, das dieses Token speichert, sodass es in nachfolgenden HTTP-Anfragen nicht erneut angegeben werden muss. Während der Incus-Client den Wert des Cookies korrekt validiert, wird das Token bei der Übergabe in der URL nicht korrekt validiert.
Dies ermöglicht es einem Angreifer, der den temporären Webserver auf localhost finden und ansprechen kann, denselben Zugriff auf Incus zu erlangen wie der Benutzer, der `incus webui` ausgeführt hat. Dies kann zu einer Privilegieneskalation durch einen anderen lokalen Benutzer oder zum Zugriff auf die Incus-Instanzen des Benutzers und möglicherweise auf Systemressourcen durch einen Remote-Angriff führen, der den lokalen Benutzer dazu bringt, mit dem Webserver der Incus-Benutzeroberfläche zu interagieren. Die Version 6.23.0 behebt dieses Problem.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.