Ubuntuの開発元であるCanonicalが提供するコンテナ・仮想マシン管理ツール「LXD」と、それを土台にしたクラスタ基盤「MicroCloud」で、極めて深刻なセキュリティホールが見つかりました。深刻度を示すCVSSスコアは、満点の10.0です。
LXDは、1台のサーバー上で多数の「コンテナ」(アプリを隔離して動かす仕組み)や仮想マシンを動かすための管理ツールです。通常、管理操作を行う「信頼済みクライアント」は、本人確認のために証明書と対になる秘密鍵を持っています。今回の欠陥では、攻撃者がその秘密鍵を持っていなくても、信頼済みクライアントになりすましてログインできてしまうとされています。
ただし、攻撃にはいくつか条件があります。攻撃者はLXDのHTTPS API(ネットワーク越しの操作窓口)に通信で到達できる必要があり、さらに、なりすます対象の信頼済みクライアントの「公開証明書」を手に入れている必要があります。公開証明書は本来、秘密にしなくてもよい情報なので、入手のハードルは決して高くない点には注意が必要です。なりすましに成功すると、そのクライアントと同じ権限で操作できてしまいます。
LXDやMicroCloudを使っている方は、提供元の案内に従って修正版へ更新してください。あわせて、管理用のAPIをインターネットに直接公開していないか、アクセスできるネットワークを必要な範囲に絞れているかを確認することが、被害を減らす基本的な対策になります。個人でUbuntuを使っているだけの場合は、LXDを有効にして外部に公開していない限り、直接の影響は限定的と考えられます。