Uma vulnerabilidade de gravidade máxima foi descoberta nas ferramentas LXD e MicroCloud desenvolvidas pela Canonical, empresa responsável pela distribuição Ubuntu. A falha, classificada com pontuação CVSS 10.0, possibilita que invasores consigam acesso a um cluster como se fossem clientes confiáveis, mesmo sem possuir a chave privada correspondente.
Para explorar essa brecha, o atacante precisa apenas ter acesso à interface de programação da aplicação através da rede e possuir o certificado público do cliente legítimo. Uma vez dentro do sistema, o invasor obtém controle total sobre o cluster e todas as máquinas virtuais associadas, assumindo a identidade completa do cliente que está tentando personificar.
Essa vulnerabilidade representa um risco significativo para organizações que utilizam essas tecnologias em seus ambientes de nuvem privada. A Canonical ainda não disponibilizou uma correção definitiva para o problema, e recomenda-se que os administradores implementem medidas de segurança adicionais enquanto a correção oficial não é lançada.
Fonte: The Hacker News
