要点
- Ubuntu の Canonical が作るコンテナ・仮想マシン基盤「LXD」で、深刻度が最高クラスの欠陥が6件公表された。
- 細工されたイメージ（コンテナの元になるファイル）やバックアップ設定を使うと、LXD が動く本体の機械（ホスト）でファイルを書き換えられ、命令の実行にまで至る恐れがある。
- 6件とも、公表された段階の advisory には、実際に悪用された報告は書かれていない。
何が起きたか
LXD の開発元 Canonical は、GitHub 上で6件の advisory（欠陥の公式な知らせ）を公表した。6件とも深刻度は 9.9 点（10 点満点）の「Critical」だ。報告者は antifob という名前で、取りまとめは LXD の開発者 stgraber だと書かれている。GitHub の一覧への掲載は 2026年11月6日だが、LXD 側の公表は 6月26日とされる。
6件の違いは次のとおり。
- 制限付きプロジェクトの回避（CVE-2026-48751）: LXD には、プロジェクト単位で使える機能を絞る「制限付きプロジェクト」がある。スナップショット（ある時点の保存状態）を戻すとき、低レベル設定の禁止が無視される。ホストで root 権限の命令を実行できる。
- 信頼済みイメージのハッシュ（CVE-2026-48769）: 悪意あるイメージ配布サーバーが細工した値を返すと、取り込む側の機械で任意の場所にファイルを書かれる。URL を指定してイメージを取り込む場合が条件だ。
- バックアップ圧縮方式への引数の混入（CVE-2026-48755）: 圧縮方式の指定の検査が甘く、余計な引数が圧縮ツールに渡る。ホストへのファイル書き込みや命令実行に至りうる。
- イメージ内の rootfs のシンボリックリンク（CVE-2026-48749）: 細工したイメージでホスト全体のファイルを読み書きできる。
- イメージ内の templates のシンボリックリンク（CVE-2026-48752）: 同じく、ホストの任意のディレクトリを読み書きできる。
- イメージ内の exec-output のシンボリックリンク（CVE-2026-48750）: 命令の出力の書き込み先を、ホストの任意の場所にそらせる。
シンボリックリンクとは、別の場所を指す「ショートカット」のようなものだ。イメージ内のショートカットが、コンテナの外の本体側を指してしまうのが 4〜6 の共通点だ。
いずれも攻撃者に低い権限（LXD を操作できるアカウントなど）が必要で、1 は制限付きプロジェクトの利用が前提になる。advisory に回避策は書かれておらず、更新が対策だ。
日本の利用者への影響
日本での利用台数や被害の報告は、今回確かめた資料には見当たらない。LXD を使う開発環境や社内の基盤が影響を受けうる。複数の人にコンテナを貸している環境や、外部のイメージを取り込む環境は特に注意が要る。
今すぐやること
- LXD を使っているか確かめる。使っていなければ、この件は関係しない。
- 使っているなら、版を確認し、修正版へ更新する。advisory（CVE-2026-48751）によると、修正は 6.9・5.21.5・5.0.7 に入っている。他の5件のうち、48769・48755・48749 は Go モジュールの修正版の表記が 48751 と同じだ。48752 と 48750 は別の表記なので、各リンクで確かめる。
- 出どころの不明なイメージやバックアップを取り込まない。取り込むのは信頼できる配布元に限る。
- 更新までの間は、LXD を操作できる人を必要な人に絞る。
- Ubuntu や Debian などの配布パッケージで入れている場合は、配布元の情報で修正が反映されたかを確かめる。
背景
LXD は、Linux でコンテナや仮想マシンを管理する道具だ。今回の advisory のうち複数は、LXD から分かれた別の製品 Incus の advisory を元にしたと書かれている。同じ作りの部分に、同種の欠陥が見つかったと読める。
イメージの中にあるショートカットの指す先を、展開する側が十分に確かめなかった。4〜6 は、この点が共通している。
技術者向けの詳細
- 影響範囲（CVE-2026-48751 の advisory）: LXD 4.12 以降。修正は 6.9、5.21.5、5.0.7。
- Go モジュール
github.com/canonical/lxdの修正版:- 48751・48769・48755・48749:
0.0.0-20260630083100-c5184be310b1 - 48752:
0.0.0-20260203144152-d1c8ba15d160 - 48750:
0.0.0-20260626085134-124f90100640
- 48751・48769・48755・48749:
- 5.0.7 のリリースノートに、48750・48751・48752 の修正が載っている。
- CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H（9.9）。
- 48755 の advisory は、zstd を使う場合に任意のファイル書き込みが起こり、命令の実行にも至る可能性がある、と説明している。gzip や xz など、ほかの圧縮ツールで同様になるかは、advisory に書かれていない。
- 48769 は
source.type=urlでのイメージ取り込みが条件。 - 回避策は、どの advisory にも記載がない。
