Debian vá nhiều lỗi Incus: quản trị container và VM cần kiểm tra gì?

Một máy chủ Incus có thể đồng thời giữ container hệ thống, máy ảo và cấu hình mạng của nhiều nhóm. Vì vậy lỗi vượt kiểm soát hay tăng quyền cần ưu tiên cao hơn một gói tiện ích thông thường. Debian phát hành DSA-6604-1 ngày 02/11/2026 cho Debian 13 Trixie. Bài này dành cho quản trị viên tự vận hành Incus; không có bằng chứng cho thấy hạ tầng Datahub hay nhà cung cấp cụ thể bị ảnh hưởng.

Phạm vi DSA-6604-1

Theo Debian Security Tracker, Incus 6.0.4-2+deb13u10 trên Trixie bị ảnh hưởng; bản bảo mật 6.0.4-2+deb13u12 đã sửa. Debian mô tả nhiều vấn đề có thể dẫn tới vượt giới hạn bảo mật hoặc phân quyền, từ chối dịch vụ, tăng quyền và lộ thông tin.

Tại thời điểm thông báo, Debian ghi “CVE ID: not yet available”. Đây là lỗi mới được Debian đóng gói bản vá, không phải sự kiện cũ vừa được thêm vào CISA KEV. Không nên tự gán các CVE đang mở trong tracker vào DSA khi Debian chưa liên kết chính thức.

Điều kiện rủi ro cần kiểm tra

Mức phơi nhiễm phụ thuộc ai có quyền API hoặc socket quản trị, có cho người dùng tạo instance/profile không, có dùng project tách tenant không và host có workload không tin cậy hay không. Advisory chưa tách từng đường khai thác, nên host nhiều tenant và cổng quản trị mở rộng cần được ưu tiên.

Debian không nêu bằng chứng khai thác thực tế trong thông báo. Điều đó không làm bản vá kém cần thiết, nhưng tránh mô tả như một cuộc tấn công đang diễn ra.

Kế hoạch cập nhật giảm gián đoạn

1. Xác nhận host chạy Debian 13 Trixie và gói cũ hơn bản đã sửa.
2. Sao lưu cơ sở dữ liệu Incus, cấu hình mạng, profile và khóa phục hồi; thử khả năng khôi phục.
3. Ghi lại VM/container đang chạy và workload không được tự khởi động lại.
4. Cập nhật từ kho security lên 6.0.4-2+deb13u12 hoặc mới hơn.
5. Kiểm tra daemon, API, bridge, storage pool và thao tác tạo/xóa instance sau cập nhật.
6. Rà thành viên nhóm incus-admin, chứng chỉ tin cậy, token và cổng API; thu hồi quyền không dùng.

Nếu chưa thể vá ngay

Debian khuyến nghị nâng gói và không nêu biện pháp thay thế tương đương. Trong lúc chờ bảo trì, hãy giới hạn API quản trị vào mạng riêng hoặc VPN, giảm quyền tạo profile/instance, tách workload không tin cậy và tăng giám sát log. Đây là giảm bề mặt, không thay cho bản vá.

Tác động với VPS và nền tảng ảo hóa

Incus quản lý container hệ thống và VM nên lỗi ở lớp điều khiển có phạm vi lớn hơn ứng dụng trong guest. Vá guest không cập nhật Incus trên host. Ngược lại, khách thuê VPS thông thường không có quyền host nên nên hỏi nhà cung cấp về quy trình vá, không tự suy đoán trạng thái nền tảng.

Nếu doanh nghiệp tự vận hành Incus, hãy gửi phiên bản Debian/Incus, số host, loại storage, cách mở API và cửa sổ bảo trì qua kênh liên hệ. Mục tiêu là lập checklist cập nhật có đường quay lại; chưa cần thay máy chủ khi chưa đánh giá cấu hình thực tế.