何が起きたか
LXD の DevLXD API で、コンテナにディスクデバイスを追加する経路がボリュームの所有者を確認していませんでした。security.devlxd.management.volumes を有効にしたプロジェクトでは、ゲストがデバイスの PATCH で他のゲストが所有するカスタムボリュームを指定するだけで、自分にマウントして中身を読み書きできます。信頼できないゲストを同じプロジェクトで動かしている環境では、テナント間の分離が破られます。
やること
github.com/canonical/lxd を修正コミット（0.0.0-20260626085133-7cb96ac80a6d）以降を含む版に更新してください。すぐ更新できない場合は、信頼できないゲストが同居するプロジェクトで security.devlxd.management.volumes を有効にしないでください。
出典
GitHub Advisory Databasegithub.com英語 ↗LXD のセキュリティ勧告github.com英語 ↗NVD CVE-2026-12411nvd.nist.gov英語 ↗上の要約は通り道編集部がまとめたものです。影響範囲と修正版は必ず各出典で確認してください。