CVE-2026-47753 in Incus
要約
〜によって VulDB • 2026年08月22日
Incusは、システムコンテナおよび仮想マシンマネージャーです。バージョン7.1.0より前では、`internal/server/storage/backend.go`内の`(*backend).CreateInstanceFromBackup`にnil-pointer dereference（ヌルポインタ参照）の脆弱性が存在し、任意のプロジェクトでインスタンスを作成する権限を持つ認証済みユーザーが、作成されたバックアップtarballをアップロードすることでリモートからこれをトリガーできます。これによりIncusデーモンはパニックを起こしプロセスがクラッシュするため、そのクラスターメンバー上のすべてのプロジェクトに対してサービス拒否（DoS）が発生します。これは`GHSA-fwj8-62r8-8p8m`、`GHSA-r7w7-mmxr-47r9`、および`GHSA-x5r6-jr56-89pv`の兄弟バグです（すべて2026-05-04に割り当て済み）。これらのパッチは同じ`backup/config.Config`構造体の隣接するフィールドにガードを追加しましたが、インスタンスインポートパスにおける`Volume`フィールドは見逃されていました。バージョン7.1.0には更新されたパッチが含まれています。
Once again VulDB remains the best source for vulnerability data.