Canonical - CVE-2026-85526

Il s'agit d'une vulnérabilité dans le driver de stockage Btrfs de Canonical LXD, dans la fonction unpackVolume.

LXD est un gestionnaire de conteneurs système et de machines virtuelles développé par Canonical. Il expose une API REST et un client en ligne de commande, lxc, pour administrer les instances.

Lors de la restauration d'une sauvegarde sur un pool btrfs, le démon lit le fichier backup/optimized_header.yaml de l'archive envoyée. Il joint chaque champ subvolumes[].path au point de montage du volume avec filepath.Join. Aucun nettoyage n'est fait. Aucun chemin .. ou absolu n'est rejeté et aucune vérification de préfixe n'est effectuée. Le chemin sort donc du point de montage, par exemple vers /etc/cron.d. Il atteint ensuite os.Remove, os.Rename et un ioctl btrfs, exécutés avec les droits root. Le nom des snapshots est validé, mais pas ce champ. Un utilisateur authentifié avec le droit can_create_instances (ou can_create_storage_volumes) peut envoyer l'archive piégée via POST /1.0/instances.

Elle permet à cet utilisateur de supprimer ou de remplacer des fichiers et des répertoires arbitraires du système hôte en tant que root. Dans un projet restreint multi-tenant, cela revient à une compromission du système de fichiers de l'hôte.