p PatchFirst

CVE-2026-115375

CVE-2026-115375 · Incus 7.0.0 before 7.0.2 and 7.1.0 before 7.5.0 Path Traversal via Instance Backup Dependent Volumes

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Incus 7.0.0 before 7.0.2 and 7.1.0 before 7.5.0 contains a path traversal vulnerability that allows clients able to create instances to write files on the host. The flaw stems from unvalidated dependent custom volume names in instance backup index.yaml files. Attackers can import a crafted instance backup with ../ sequences in dependent volume names to create root-owned directories with controlled content, leading to full host compromise.

CVSS 9.4 · Критический · EPSS 0,4% · Есть исправление

Опубликовано
Обновлено

Стек: system

Затронутые продукты и версии

  • incus

    Версии
    • ≥ 7.0.0, < 7.0.2: Затронуто (semver)
    • 7.0.2: Не затронуто (semver)
    • ≥ 7.1.0, < 7.5.0: Затронуто (semver)
    • 7.5.0: Не затронуто (semver)

    Обновитесь до 7.0.2; Обновитесь до 7.5.0

  • incus Debian:14

    Версии
    • 6.0.4-2
    • 6.0.4-3
    • 6.0.5-1
    • 6.0.5-2
    • 6.0.5-3
    • 6.0.5-4
    • 6.0.5-5
    • 6.0.5-6
    • 6.0.5-7
    • 6.0.5-8
    • 6.0.6-1
    • 6.0.6-2
    • 6.0.6-3
    • 6.14.0-1~exp1
    • 6.15.0-1~exp1
    • 6.16.0-1~exp1
    • 6.17.0-1~exp1
    • 6.20.0-1~exp1
    • 6.21.0-1~exp1
    • 6.22.0-1~exp1
    • 6.23.0-1~exp1
    • 7.0.0-1
    • 7.0.0-1~bpo13+1
    • 7.0.0-2
    • 7.0.0-2~bpo13+1
    • 7.0.0-3
    • 7.0.0-4
    • 7.0.0-5
    • 7.0.0-5~bpo13+1
    • 7.0.1-1
    • 7.0.1-1~bpo13+1
    • 7.0.1-2
    • 7.0.1-2~bpo13+1
    • 7.0.1-3
    • 7.0.1-3~bpo13+1
    • 7.0.1-4
    • 7.0.1-5~bpo13+1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 7.0.1-5

    Обновитесь до 7.0.1-5

  • incus Ubuntu:Pro:24.04:LTS

    Версии
    • 0.4-1ubuntu1
    • 0.5.1-1
    • 0.5.1-3
    • 0.6-1
    • 6.0.0-1
    • 6.0.0-1ubuntu0.1
    • 6.0.0-1ubuntu0.2
    • 6.0.0-1ubuntu0.2+esm1
    • 6.0.0-1ubuntu0.3
    • 6.0.0-1ubuntu0.3+esm1
    • 6.0.0-1ubuntu0.3+esm2
    • 6.0.0-1ubuntu0.3+esm3
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • incus Ubuntu:26.10

    Версии
    • 6.0.5-8
    • 7.0.1-5
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • incus Ubuntu:Pro:26.04:LTS

    Версии
    • 6.0.4-2
    • 6.0.5-8
    • 6.0.5-8ubuntu0.26.04.1~esm1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

Первоисточники

Проверьте свой сервер →