Canonical LXD の HTTPS リスナーは、相互 TLS でクライアント証明書を要求する一方、チェーン全体を信頼ストアと照合していた。ハンドシェイクで秘密鍵が証明されるのは先頭（リーフ）だけのため、攻撃者が信頼済みクライアントの公開証明書を中間に差し込むと、鍵を持たずにその身元で API に入れる。CVSS 4.0 ベーススコア 10.0、深刻度 Critical。ネットワーク到達だけで、クラスタ全体と管理下 VM へのフルアクセスに至りうる。
- 対象 LXD: 4.0.14、5.0.10、5.21.8、6.9 およびそれ以前の該当系（初版からの挙動）。
- 同根の欠陥は MicroCloud にも及ぶ。Incus 側からの報告を経て LXD でも確認された。
- Ubuntu 公式パッケージの
lxdは、22.04 LTS 以降の各リリースで「リリースに含まれない」扱い。多くの本番は snap チャネルが更新対象になる。
修正版 snap（stable 向けの目安）:
| チャネル | 修正版 |
|---|---|
| 4.0/stable | 4.0.15 |
| 5.0/stable | 5.0.11 |
| 5.21/stable | 5.21.9 |
| 6/stable | 6.10.1 |
MicroCloud は 2/stable で 2.1.5、3/stable で 3.4.1。各 point リリースは candidate から stable へ段階配信の途中がありうる。
対処は、利用中チャネルに合わせて LXD（必要なら MicroCloud）を上記修正版へ上げる。設定だけでは塞げず、HTTPS リスナーへ届く経路を信頼ホストに絞るのが暫定策になる。