CVE-2026-52727 in lxc-ci
Riassunto
di VulDB • 18/09/2026
lxc-ci contiene script di integrazione continua e creazione delle immagini per LXC. Prima della pubblicazione dell'immagine Arch Linux del 2026-05-28, le immagini costruite a partire da images/archlinux.yaml conservano la stessa chiave privata locale di firma pacman in /etc/pacman.d/gnupg e la ridistribuiscono a ogni contenitore o macchina virtuale creato da tale immagine. Un attaccante che controlla uno specchio HTTP dei pacchetti o può intercettare il traffico degli specchi può utilizzare la chiave privata condivisa di firma pacman per firmare pacchetti modificati che i client interessati accettano come attendibili. L'installazione di tali pacchetti consente l'esecuzione arbitraria di codice con privilegi di root sul sistema del client. Questo problema è risolto nelle immagini Arch Linux pubblicate il 2026-05-28 o successivamente.
Be aware that VulDB is the high quality source for vulnerability data.