star-sg/lxd-group-privesc-reportRelatório de prova de conceito e educacional demonstrando escalada de privilégio local para root via associação padrão ao grupo LXD no Ubuntu Server, com scripts de detecção e mitigação
Escalação de Privilégio Local para root através da associação padrão ao grupo lxd e do pacote lxd-installer no Ubuntu.
Demonstração executada no AWS EC2 Ubuntu Server 26.04
O bug é que a instalação padrão do Ubuntu Server 26.04 concede silenciosamente ao usuário primário a associação ao grupo lxd, um grupo que, pelo modelo de confiança do LXD, equivale a root sem senha, ao mesmo tempo que o apresenta como uma capacidade inócua de "gerenciamento de contêineres". Além disso, esse usuário não privilegiado pode instalar e configurar o LXD por conta própria, sem qualquer privilégio adicional, de modo que o grupo equivalente a root é acessível de ponta a ponta sem nunca tocar na senha do sudo.
Um host está exposto quando ambas as condições são verdadeiras: alguém não privilegiado está no grupo lxd, e um caminho LXD executado como root (um daemon instalado, ou o socket lxd-installer) é acessível.
Verifique e execute poc/check-vulnerable.sh:
cd poc && chmod +x check-vulnerable.sh && ./check-vulnerable.sh
cd poc && chmod +x exploit.sh && ./exploit.sh # run as an unprivileged user in the lxd group
Veja poc/README.md para requisitos, saída esperada, reprodução manual e limpeza.
A correção está no lado da distribuição: o Ubuntu Server não deve colocar o usuário primário no grupo lxd por padrão. Esse grupo equivale a root, portanto merece a mesma concessão explícita e compreendida que o sudo, não um padrão silencioso. Exigir a senha do sudo antes da execução sob demanda do lxd-installer também fecharia o vetor de pré-instalação, mas por si só deixa um LXD já instalado exposto.
Até que isso seja implementado, remova todas as contas não privilegiadas do grupo lxd. A alteração entra em vigor no próximo login do membro.
getent group lxd # list current members
sudo gpasswd -d "$USER" lxd # remove one member; repeat for each
Em seguida, trate a associação ao lxd como sudo sem senha: conceda-a apenas a usuários em que você já confia com root.
swing) — STAR Labs SG Pte. Ltd.Divulgamos este problema de forma responsável à equipe de Segurança do Ubuntu e, após sua revisão, foi determinado que não constitui uma vulnerabilidade de segurança.
Este material é fornecido exclusivamente para pesquisa de segurança autorizada, teste e fins educacionais. Deve ser usado apenas em sistemas que você possui ou para os quais obteve permissão explícita para avaliar. Os autores não assumem responsabilidade ou obrigação por qualquer uso indevido, dano ou consequências decorrentes do uso destas informações.