VDB-394607 · CVE-2026-66897 · GCVE-0-2026-66897

Canonical LXD 迄 4.0.12/5.0.8/5.21.6/6.9 Instance Template Processing metadata.yaml os.Create ディレクトリトラバーサル

CVSS 一時的なメタスコア	現在のエクスプロイト価格 (≈)	CTI注目指数
9.7	$0-$5k	2.44

要約情報

このたび、Canonical LXD 迄 4.0.12/5.0.8/5.21.6/6.9において、非常に重大に分類される脆弱性が見つかりました。影響を受けるのは、コンポーネント【Instance Template Processing】のファイル【metadata.yaml】に含まれる関数【os.Create】です。未知の値で改ざんすることが、ディレクトリトラバーサルを突く攻撃に繋がります}。この脆弱性はCVE-2026-66897という名称で流通しています。リモート攻撃が可能です。

詳細情報

このたび、Canonical LXD 迄 4.0.12/5.0.8/5.21.6/6.9において、非常に重大に分類される脆弱性が見つかりました。影響を受けるのは、コンポーネント【Instance Template Processing】のファイル【metadata.yaml】に含まれる関数【os.Create】です。未知の値で改ざんすることが、ディレクトリトラバーサルを突く攻撃に繋がります}。 CWEを使用して問題を宣言すると、CWE-22 につながります。この弱点はに発表されました。アドバイザリはgithub.comにて共有されています。

この脆弱性はCVE-2026-66897という名称で流通しています。 CVEが2026年07月28日に割り当てられました。リモート攻撃が可能です。テクニカルな情報があります。この脆弱性の普及度は平均未満です。エクスプロイトツールの現在の価格はおそらく米ドルで約$0-$5kです。 MITRE ATT&CKプロジェクトはT1006という攻撃手法を宣言しています。

未定義に指定されています。

4.0.13, 5.0.9, 5.21.7 , 6.10にアップグレードすることで、本問題を解消できます。