ال‌اکس‌دی گواهی عمومی را به‌جای اثبات مالکیت کلید پذیرفت

کنونیکال روز ۲۸ اکتبر برای CVE-2026-112816 هشدار داد. منطق احراز هویت در شنوندهٔ HTTPSِ ال‌اکس‌دی و مایکروکلاد همهٔ گواهی‌هایی را که کلاینت می‌فرستاد با فهرست اعتماد مقایسه می‌کرد، در حالی که فقط گواهی برگ ثابت می‌کند کلاینت کلید امضا را دارد. نتیجه، به بیان همان توصیه: کسی که به API از راه شبکه برسد و گواهی عمومی یک کلاینت معتمد را داشته باشد می‌تواند با هویت او وارد شود. اگر آن حساب دسترسی بالا داشته باشد، مهاجم ممکن است به ریشهٔ ماشین میزبان برسد.

در مایکروکلاد مسیر مشخص‌تری هم هست. کنونیکال نوشته مهاجم می‌تواند هنگام پیوستن یک عضو به خوشه، گواهی عمومی او را بردارد و بعد با هویت همان عضو احراز هویت کند.

جدول توصیه این نسخه‌های اصلاح‌شده را با تاریخ ۲۹ اکتبر روی کانال پایدار اسنپ آورده است: ال‌اکس‌دی ۶٫۱۰٫۱، ۵٫۲۱٫۹، ۵٫۰٫۱۱ و ۴٫۰٫۱۵؛ مایکروکلاد ۳٫۴٫۱ و ۲٫۱٫۵. در متن ۲۸ اکتبر آمده بود انتشارهای نقطه‌ای هنوز از کانال candidate به‌سوی stable پخش تدریجی می‌شوند، پس بعد از به‌روزرسانی باید نسخهٔ واقعاً نصب‌شده را دید. صفحهٔ اوبونتو برای این CVE، به تاریخ ۳۰ اکتبر، بسته‌های آرشیو توزیع را یا غایب از انتشار فهرست کرده یا، در فوکال، غیرآسیب‌پذیر. امتیاز عددی CVSS در متن توصیهٔ کنونیکال نبود و اینجا هم نیامده است.

منبع: توصیهٔ امنیتی کنونیکال در گفتمان اوبونتو، ۲۸ اکتبر ۲۰۲۶؛ صفحهٔ CVE-2026-112816 در ubuntu.com، ۳۰ اکتبر ۲۰۲۶.

اتاق سرور سرن در سال ۲۰۱۰، با قفسه‌هایی که پشت تجهیزات به سمت راهرو است. عکس کاربر ویکی‌انبار Hugovanmeijeren، مجوز کریتیو کامنز BY-SA 3.0. این مرکز دادهٔ ال‌اکس‌دی یا مایکروکلاد نیست.