Incus 7.3 tetter 13 sårbarheter og lar flere VM-er dele ett GPU

Ni av de 13 sårbarhetene Incus 7.3 tetter er klassifisert som kritiske, to som høye og to som middels. Utgivelsen kom 31. juli. Flere av hullene kunne la en angriper lese eller skrive vilkårlige filer på verten via spesiallagde images, backup-arkiver, symbolske lenker eller path traversal, mens andre kunne omgå isolasjonen mellom Incus-prosjekter.

Incus er en åpen forvalter for containere og virtuelle maskiner. Den største funksjonelle nyheten i 7.3 er delt 3D-akselerasjon for Linux-VM-er. En ny GPU-type kalt native-context kombinerer virtio-gpu med virglrenderer, og lar flere virtuelle maskiner bruke det samme grafikkortet samtidig. Det skiller seg fra vanlig PCI-passthrough, der hele kortet bindes til én maskin. Windows-gjester mangler driverstøtte og får ingen akselerasjon i dette oppsettet.

Autorisasjonen er også bygget om. Innstillingene under openfga ligger nå i et bredere authorization-navnerom, med automatisk migrering ved oppgradering. Incus kan i tillegg bruke ulike autorisasjonsdrivere avhengig av klienttype, slik at lokal Unix-socket, TLS uten begrensninger, prosjektbegrenset TLS og OIDC-brukere kan få hver sin policy.

Av mindre endringer setter incus port-forward opp en lokal TCP-lytter mot en tjeneste inne i en instans, incus debug heter nå incus low-level, og metrics-endepunktet eksponerer total og brukt kapasitet for lagringspooler til Prometheus. Klientinstallatører for Windows og macOS følger med som MSI og PKG, men de er ikke digitalt signert.

Hva bør du gjøre?

1. Oppgrader raskt hvis du kjører images eller backup-arkiver fra kilder du ikke selv kontrollerer. De ni kritiske hullene med filtilgang på verten er delen som haster.
2. Gå gjennom oppsettet for security.nesting. Opsjonen gjelder nå også virtuelle maskiner og er påslått som standard, så nøstet virtualisering er aktiv med mindre du skrur den av.
3. Bytt fra PCI-passthrough til native-context-typen hvis du vil dele ett grafikkort mellom flere Linux-VM-er.