CVE-2026-47753 in Incus
Zusammenfassung
von VulDB • 21.08.2026
Incus ist ein Systemcontainer- und Virtual-Machine-Manager. Vor Version 7.1.0 enthält `(*backend).CreateInstanceFromBackup` in `internal/server/storage/backend.go` eine Nil-Zeiger-Dereferenzierung, die von einem authentifizierten Benutzer mit der Berechtigung zum Erstellen von Instanzen in jedem Projekt remote ausgelöst werden kann, indem ein speziell angefertigtes Backup-Tarball hochgeladen wird. Der Incus-Daemon führt einen Panic aus und der Prozess stürzt ab, was zu einer Denial-of-Service-Beeinträchtigung für jedes Projekt auf diesem Cluster-Mitglied verursacht. Dies ist eine Schwester von `GHSA-fwj8-62r8-8p8m`, `GHSA-r7w7-mmxr-47r9` und `GHSA-x5r6-jr56-89pv` (alle zugewiesen am 2026-05-04). Diese Patches fügten Guards für benachbarte Felder derselben `backup/config.Config`-Struktur hinzu; das `Volume`-Feld im Instanz-Import-Pfad wurde jedoch übersehen. Version 7.1.0 enthält einen aktualisierten Patch.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.