CVSS 10.0 LXD, MicroCloud Flaw Lets Attackers Impersonate Trusted Clients Without a Private Key

Se ha identificado una falla crítica en los productos LXD y MicroCloud de Canonical, identificada como CVE-2026-112816. El problema reside en la forma en que el servidor verifica los certificados de seguridad (TLS) para permitir el acceso a su API. Un atacante puede usar el certificado público de un cliente legítimo —el cual no es secreto— para engañar al sistema y hacerse pasar por ese usuario sin tener su clave privada.

Si el atacante logra suplantar una cuenta con privilegios, podría obtener acceso de 'root' (control total) a la máquina host, lo que le permitiría manipular todo el clúster y las máquinas virtuales alojadas. Para que este ataque sea posible, el atacante necesita tener acceso a la red donde está la API de HTTPS y poseer el certificado público de un cliente que el servidor ya reconozca como confiable.

Aunque no hay evidencia de que este fallo esté siendo usado en ataques reales actualmente, la gravedad es máxima. Las versiones afectadas de LXD incluyen la 4.0.14, 5.0.10, 5.21.8 y 6.9. En el caso de MicroCloud, el riesgo es particular cuando nuevos miembros se unen al clúster y sus certificados pueden ser capturados.

Canonical ya ha lanzado versiones corregidas a través de 'snaps' (un formato de instalación de paquetes en Linux). Para los usuarios de Incus, un proyecto derivado de LXD, la solución es actualizar a la versión 7.6.0, la cual también corrige otros 17 problemas de seguridad.

Qué significa para una pyme colombiana y cucuteña: Si su empresa utiliza servidores Linux con LXD o MicroCloud para gestionar sus servicios o máquinas virtuales, debe actuar de inmediato. Ejecute los comandos 'sudo snap refresh lxd' y 'sudo snap refresh microcloud' para actualizar. Si no puede actualizar hoy mismo, asegúrese de que el acceso a la API de estos servicios esté restringido solo a su red interna y no esté expuesto a internet, para evitar que un atacante externo intente la suplantación.