何が起きたか
URL を指定してイメージを取り込む際、LXD はイメージサーバーが返す Image-Hash ヘッダーの値をそのまま保存先のファイル名に使い、ハッシュの検証はファイルを書き終えた後に行っていました。悪意あるサーバーが ../../../../etc/cron.d/... のような値を返すと、root 権限で任意の場所にファイルが書き込まれ、コマンド実行につながるおそれがあります。
やること
Go モジュールとして使っている場合は 0.0.0-20260630083100-c5184be310b1 以降へ更新してください。LXD サーバーは修正を含むリリースへ更新し、それまでは信頼できない URL からイメージを取り込まないでください。
出典
GitHub Advisory Databasegithub.com英語 ↗LXD のセキュリティ勧告github.com英語 ↗NVD CVE-2026-48769nvd.nist.gov英語 ↗上の要約は通り道編集部がまとめたものです。影響範囲と修正版は必ず各出典で確認してください。