Canonical vừa ghi nhận một lỗ hổng an ninh mạng đặc biệt nghiêm trọng với điểm số CVSS đạt mức tối đa 10.0, ảnh hưởng trực tiếp đến hai nền tảng LXD và MicroCloud. Sự cố này tạo điều kiện cho kẻ tấn công thực hiện hành vi giả mạo và đăng nhập dưới danh nghĩa của một khách hàng đáng tin cậy trong hệ thống mà hoàn toàn không cần nắm giữ khóa riêng tư (private key) tương ứng.
Để triển khai cuộc tấn công, kẻ xấu cần đáp ứng hai điều kiện cơ bản: có thể kết nối tới giao diện HTTPS API của hệ thống thông qua môi trường mạng và sở hữu chứng chỉ công khai (public certificate) của khách hàng tin cậy.
Sau khi xâm nhập thành công, kẻ tấn công sẽ hoạt động dưới danh nghĩa của khách hàng bị giả mạo, từ đó chiếm quyền truy cập vào toàn bộ cụm hệ thống (cluster) cũng như kiểm soát các máy ảo (virtual machines) thuộc tài khoản đó.
