Критический

Патч

Опубликована

CVE-2026-85526

Path traversal via Btrfs optimized-backup subvolumes[].path enables root file/dir manipulation in LXD

Публикация: 28.09.2026·Обновлена: 29.09.2026, 06:55·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

Path traversal in the Btrfs storage driver (unpackVolume) in Canonical LXD on Linux allows an authenticated user with instance creation privileges to delete or replace arbitrary files and directories on the host filesystem as root via a crafted subvolumes[].path entry in backup/optimized_header.yaml during a btrfs optimized backup import.

Что это значит

В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно

Устранить в течение 24 ч

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu

dpkg-query -W -f='${Package}	${Version}\n'

RHEL / AlmaLinux

rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'

Windows PowerShell

Get-HotFix | Select-Object HotFixID, InstalledOn

Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Upgrade to LXD versions 4.0.14, 5.0.10, 5.21.8, 6.10 or later.

CVE Record: canonical ↗

3. Временные меры

До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.

Общая рекомендация, не из бюллетеня вендора

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

Проверьте фактическую версию и результат установки по бюллетеню.
При необходимости перезапустите сервисы в согласованное окно.
Повторите проверку сканером и функциональные проверки.
Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

Canonical / LXD

{
  "status": "affected",
  "version": "4.0.0",
  "lessThan": "4.0.14",
  "versionType": "semver"
}

{
  "status": "affected",
  "version": "5.0.0",
  "lessThan": "5.0.10",
  "versionType": "semver"
}

{
  "status": "affected",
  "version": "5.21.0",
  "lessThan": "5.21.8",
  "versionType": "semver"
}

{
  "status": "affected",
  "version": "6.0",
  "lessThan": "6.10",
  "versionType": "semver"
}

CVSS: оценки и векторы

CVSS 3.1 · cve9.9

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

AV · Вектор атакисеть

AC · Сложность атакинизкая

PR · Привилегиинизкие

UI · Участие пользователяне нужно

S · Область воздействияменяется

C · Конфиденциальностьвысокое

I · Целостностьвысокое

A · Доступностьвысокое

Классы CWE

CWE-22 · Обход каталогов (Path Traversal)

Источники и ссылки

Бюллетень вендора · github.com · cve Исправление · github.com · cve Исправление · github.com · cve Исправление · github.com · cve Исправление · github.com · cve Исправление · github.com · cve CVE Program · www.cve.org · CVE Program NVD · nvd.nist.gov · NVD

Происхождение полей

{
  "cwes": [
    "cve"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-04T21:20:35.283242+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-10-28T17:57:43.262359+00:00"
  },
  "scores": [
    "cve"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-10-28T17:57:43.262359+00:00"
  },
  "affected": [
    "cve"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-10-28T17:57:43.262359+00:00"
  },
  "solutions": [
    "cve"
  ],
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-04T21:20:35.283242+00:00"
  },
  "references": [
    "cve"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-10-28T17:57:43.262359+00:00"
  },
  "workarounds": [],
  "configurations": []
}

Хронология записи

Данные обновлены05.11.2026, 00:20
Данные обновлены04.11.2026, 00:15
Данные обновлены03.11.2026, 00:15
Данные обновлены02.11.2026, 00:12
Данные обновлены31.10.2026, 12:00
Данные обновлены29.10.2026, 12:44
Появились сведения об исправлении28.10.2026, 20:57

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТ	ПРИОРИТЕТ	CVSS	EPSS	СИГНАЛЫ	ОПУБЛИКОВАНА
CVE-2026-112816 Improper certificate validation in the HTTPS listener in LXD Canonical / LXD	Критический	10.0	0,3 %		30.10.2026
CVE-2026-87799 Arbitrary file write on LXD host via symlink in migration stream Canonical / LXD	Критический	9.9	0,41 %		28.09.2026
CVE-2026-86334 CLI Path Traversal via Content-Disposition in LXD Image Export/Copy Canonical / LXD	Высокий	4.2	0,33 %	PoCПатч	28.09.2026
CVE-2026-86335 LXD Cross-Project Private Image Theft via Unsanitized GetImageFromAnyProject Local Reuse Canonical / LXD	Средний	6.3	0,23 %	Патч	28.09.2026
CVE-2026-85185 Path traversal in LXD btrfs storage driver allows arbitrary file deletion and write on host as root Canonical / LXD	Критический	9.6	0,37 %		28.09.2026