Índice
- Resumen ejecutivo
- Qué es la vulnerabilidad
- Productos y versiones vulnerables
- Impacto y riesgo
- Estado de explotación conocida
- Indicadores de compromiso (IOC)
- Cómo comprobar si estás afectado
- Mitigación y actualización
- Checklist para administradores
- Preguntas frecuentes
- Fuentes oficiales
Resumen ejecutivo
| Campo | Detalle |
|---|---|
| CVE | CVE-2026-63300 |
| Fabricante | Canonical |
| Producto | LXD |
| Fecha de publicación | 12 de agosto de 2026 |
| Severidad | CRÍTICA |
| CVSS | 9.9 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H) |
| Puntuación de prioridad | 210 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La vulnerabilidad CVE-2026-63300 reside en la función instancePostMigration en el archivo lxd/instance_post.go de LXD. Se trata de un fallo de validación incorrecta que permite a un atacante autenticado, con permisos can_create_instances en un proyecto restringido, eludir las restricciones de seguridad a nivel de proyecto. Al migrar una instancia entre proyectos, LXD no valida la configuración de la instancia contra las restricciones impuestas en el proyecto de destino, como restricted.containers.lowlevel, restricted.devices.* y restricted.networks.access. El atacante puede crear una instancia no permitida o de alto privilegio en un proyecto sin restricciones y luego moverla al proyecto restringido, violando así las políticas de seguridad.
Productos y versiones vulnerables
Según las fuentes consultadas (CVE.org), las siguientes versiones de LXD de Canonical están afectadas:
| Producto | Versión afectada | Versión corregida |
|---|---|---|
| LXD | 5.0.0 hasta anterior a 5.0.8 | 5.0.8 |
| LXD | 5.21.0 hasta anterior a 5.21.6 | 5.21.6 |
| LXD | 6.0 hasta anterior a 6.10 | 6.10 |
No se han publicado otras versiones afectadas por las fuentes consultadas.
Impacto y riesgo
El impacto de CVE-2026-63300 es crítico. Un atacante que explote esta vulnerabilidad puede obtener acceso completo a la confidencialidad, integridad y disponibilidad de los recursos del sistema afectado. El vector de ataque es de red, con baja complejidad, y requiere autenticación previa, pero no interacción del usuario. El alcance es cambiante, lo que significa que el atacante puede comprometer recursos más allá del proyecto inicial. Dado que la puntuación CVSS es 9.9, el riesgo es máximo. Las organizaciones que utilicen LXD en entornos multiinquilino o con proyectos restringidos deben priorizar la aplicación de parches.
Estado de explotación conocida
No se ha confirmado explotación activa de esta vulnerabilidad en las fuentes consultadas. La selección de esta CVE por RyzerBot se basa en su publicación reciente y su puntuación CVSS 9.0 o superior, no en indicios de explotación en curso.
Indicadores de compromiso (IOC)
No se han extraído indicadores de compromiso estructurados de las fuentes consultadas. No deben inventarse.
Cómo comprobar si estás afectado
Para determinar si tu instalación de LXD es vulnerable, verifica la versión instalada de LXD. Las versiones afectadas son las indicadas en la tabla anterior. Si estás ejecutando LXD 5.0.0 hasta 5.0.7, 5.21.0 hasta 5.21.5, o 6.0 hasta 6.9, estás en riesgo. No se dispone de comandos específicos para comprobación en las fuentes oficiales.
Mitigación y actualización
Canonical ha publicado parches para las versiones afectadas de LXD. Se recomienda actualizar a las versiones corregidas:
- Actualizar LXD 5.0.x a 5.0.8
- Actualizar LXD 5.21.x a 5.21.6
- Actualizar LXD 6.x a 6.10
Las referencias a los parches se encuentran en los enlaces oficiales de GitHub proporcionados por Canonical. No se han publicado mitigaciones alternativas por las fuentes consultadas.
Checklist para administradores
- ☐ Identificar la versión de LXD en todos los sistemas.
- ☐ Comparar la versión con las afectadas (5.0.0-5.0.7, 5.21.0-5.21.5, 6.0-6.9).
- ☐ Programar la actualización a la versión corregida correspondiente.
- ☐ Revisar y reforzar las restricciones de proyecto en LXD.
- ☐ Monitorear logs de actividad de instancias migradas entre proyectos.
- ☐ Verificar que no haya instancias no autorizadas creadas en proyectos restringidos.
Preguntas frecuentes
¿CVE-2026-63300 afecta a .NET?
No, según las fuentes oficiales, la vulnerabilidad afecta a LXD de Canonical, no a .NET. La información inicial del NVD puede haber sido incorrecta, pero los datos enriquecidos confirman que el producto afectado es LXD.
¿Necesito autenticación para explotar esta vulnerabilidad?
Sí, el vector CVSS indica que se requiere autenticación (PR:L) con permisos específicos en LXD.
¿Hay exploits públicos disponibles?
No se ha publicado ningún exploit en las fuentes consultadas.
¿Qué pasa si no puedo actualizar inmediatamente?
No se han publicado mitigaciones temporales. Se recomienda restringir el acceso a los proyectos de LXD y limitar los permisos de creación de instancias mientras se planifica la actualización.
¿Cómo puedo saber si mi sistema ha sido comprometido?
No se han proporcionado indicadores de compromiso. Revisa los logs de migración de instancias y busca configuraciones de instancias que no cumplan con las políticas del proyecto restringido.
¿Dónde puedo encontrar más información técnica?
En las fuentes oficiales listadas al final, especialmente el aviso de seguridad de GitHub (GHSA-5g5r-wh97-qcq2) y los pull requests de corrección.