CVE-2026-33897

Incus: odczyt/zapis dowolnych plików jako root przez szablony pongo2

CVSS 9.9v3.1pub. 2026-03-26upd. 2026-03-30

Podatność w Incus (menedżer kontenerów systemowych i maszyn wirtualnych) umożliwia atakującemu z dostępem do instancji odczyt i zapis dowolnych plików na hoście z uprawnieniami root. Wynika ona z braku skutecznej izolacji mechanizmu chroot w silniku szablonów pongo2.

▸ Pokaż oryginał (EN)

Incus is a system container and virtual machine manager. Prior to version 6.23.0, instance template files can be used to cause arbitrary read or writes as root on the host server. Incus allows for pongo2 templates within instances which can be used at various times in the instance lifecycle to template files inside of the instance. This particular implementation of pongo2 within Incus allowed for file read/write but with the expectation that the pongo2 chroot feature would isolate all such access to the instance's filesystem. This was allowed such that a template could theoretically read a file and then generate a new version of said file. Unfortunately the chroot isolation mechanism is entirely skipped by pongo2 leading to easy access to the entire system's filesystem with root privileges. Version 6.23.0 patches the issue.

🤖 Analiza AI

Jak działa

Incus umożliwia użycie szablonów pongo2 wewnątrz instancji, które są przetwarzane na różnych etapach cyklu życia instancji w celu generowania plików w jej systemie plików. Implementacja zakładała, że funkcja chroot w pongo2 ograniczy dostęp wyłącznie do systemu plików instancji. W rzeczywistości mechanizm izolacji chroot jest całkowicie pomijany przez pongo2, co skutkuje nieograniczonym dostępem do całego systemu plików hosta z uprawnieniami root. Atakujący posiadający możliwość kontrolowania plików szablonów w instancji może w prosty sposób wykorzystać tę lukę.

Skutki

Atakujący może odczytać lub nadpisać dowolny plik na hoście z uprawnieniami root, co w praktyce prowadzi do pełnego przejęcia kontroli nad serwerem hostującym instancje Incus — w tym do eskalacji uprawnień, wycieku danych uwierzytelniających oraz trwałego skompromitowania systemu.

Mitygacja

Należy zaktualizować Incus do wersji 6.23.0, która zawiera poprawkę eliminującą podatność. Jeśli aktualizacja nie jest natychmiast możliwa, należy ograniczyć możliwość definiowania szablonów pongo2 przez nieuprzywilejowanych użytkowników instancji.