概述
CVE-2025-64507 - Incus因自定义存储卷存在本地权限提升漏洞
漏洞描述
Incus是一个系统容器和虚拟机管理器。在6.0.6和6.19.0之前的版本中存在问题，影响任何Incus用户环境，其中非特权用户可能具有对容器的root访问权限，该容器附加了自定义存储卷，且security.shifted属性设置为true，同时作为非特权用户访问主机。
最常见的情况是系统使用incus-user和较低特权的incus组为非特权用户提供对Incus的隔离受限访问。此类用户可能能够创建具有必要属性的自定义存储卷（取决于内核和文件系统支持），然后可以从容器内写入setuid二进制文件，该文件可以在主机上作为非特权用户执行以获得root权限。
此问题的补丁预计在版本6.0.6和6.19.0中发布。作为临时解决方案，在部署修补版本的Incus之前，可以手动限制权限。
漏洞时间线
- 发布日期：2025年11月10日 晚上10:15
- 最后修改：2025年11月10日 晚上10:15
- 远程利用：否
- 来源：security-advisories@github.com
受影响产品
目前尚未记录受影响的产品
总受影响供应商：0 | 产品：0
CVSS评分
评分：8.6 版本：CVSS 4.0 严重性：高危 来源：security-advisories@github.com
解决方案
- 将Incus更新到修补版本或限制权限作为临时解决方案
- 更新Incus到版本6.0.6或6.19.0或更高版本
- 限制对自定义存储卷的访问
- 在修补之前手动限制权限
参考链接
- https://github.com/lxc/incus/pull/2642
- https://github.com/lxc/incus/security/advisories/GHSA-56mx-8g9f-5crf
CWE - 常见弱点枚举
CWE-269：不当权限管理
CAPEC - 常见攻击模式枚举和分类
- CAPEC-58：RESTful权限提升
- CAPEC-122：权限滥用
- CAPEC-233：权限提升
漏洞历史记录
新CVE接收：由security-advisories@github.com于2025年11月10日
| 操作 | 类型 | 旧值 | 新值 |
|---|---|---|---|
| 添加 | 描述 | - | Incus是系统容器和虚拟机管理器… |
| 添加 | CVSS V4.0 | - | AV:L/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X |
| 添加 | CWE | - | CWE-269 |
| 添加 | 参考 | - | https://github.com/lxc/incus/pull/2642 | | 添加 | 参考 | - | https://github.com/lxc/incus/security/advisories/GHSA-56mx-8g9f-5crf |