Proxmox 2026. gada 31. oktobrī publicēja drošības paziņojumu PSA-2026-00080-1 par Linux kodola TCP ievainojamību CVE-2026-98432, kas skar Proxmox VE izmantotās proxmox-kernel-* pakotnes. Problēma ir IPv4 TCP savienojuma izveides sacensības nosacījums, kas noteiktos apstākļos var izraisīt jau atbrīvotas atmiņas izmantošanu jeb use-after-free. Proxmox norāda, ka labojums ir pieejams pakotnē proxmox-kernel-7.0.14-25-pve un tās parakstītajā variantā.
Ievainojamība rodas, ja atkārtoti nosūtīts SYN pieprasījums tiek apstrādāts citā procesora kodolā brīdī, kad jaunā savienojuma ligzda tiek atbrīvota. Kodols vēl var mēģināt nolasīt šīs ligzdas IP opcijas, lai sagatavotu SYN-ACK atbildi. Līdzīgs sacensības scenārijs iespējams arī pieprasījuma ligzdas migrācijas laikā, ja ir ieslēgts net.ipv4.tcp_migrate_req=1 vai izmantota BPF reuseport migrācijas programma. Saskaņā ar oficiālo aprakstu ievainojamais ceļš attiecas uz SYN paketēm ar IPv4 opcijām vai CIPSO/NetLabel konfigurācijām; vietējais IPv6 režīms nav skarts.
Šis nav universāls uzbrukuma scenārijs katrai Proxmox VE instalācijai, tomēr kodola atmiņas drošības kļūdas jāuztver nopietni, jo tās var ietekmēt mezgla stabilitāti un atkarībā no izmantošanas apstākļiem radīt plašāku drošības risku. Oficiālajā Proxmox paziņojumā nav apgalvots, ka ievainojamība jau tiktu aktīvi izmantota uzbrukumos, tādēļ nav pamata pārspīlēt steidzamību. Praktiskā prioritāte ir augstāka publiski sasniedzamiem mezgliem un vidēm, kur tiek izmantotas minētās IPv4 opcijas, NetLabel vai īpašas TCP migrācijas konfigurācijas.
Administratoriem savās sistēmās jāpārbauda instalētā kodola pakotnes versija un Proxmox repozitoriju atjauninājumu pieejamība, piemēram, ar standarta APT pakotņu informācijas komandām. Pirms atjaunināšanas ieteicams pārliecināties par derīgām rezerves kopijām un klasterī plānot mezglu atjaunināšanu pa vienam, saglabājot kvorumu un virtuālo mašīnu pieejamību. Jāizmanto tikai oficiālais Proxmox atjaunināšanas ceļš; pēc jaunās kodola pakotnes instalēšanas nepieciešams plānots mezgla restarts, jo darbojošos kodolu tikai ar pakotnes uzstādīšanu neaizstāj.
Pēc restarta jāpārbauda, ka mezgls tiešām startējies ar kodolu 7.0.14-25-pve vai jaunāku attiecīgajā atbalstītajā Proxmox laidiena zarā, kā arī ka visi klastera pakalpojumi un viesmašīnas darbojas paredzēti. Ja tūlītēja restartēšana nav iespējama, ieteicams izvērtēt, vai vidē tiek izmantoti paziņojumā minētie IPv4 opciju, CIPSO/NetLabel vai TCP pieprasījumu migrācijas scenāriji, un ieplānot apkopes logu iespējami drīz.
Avoti
Proxmox PSA-2026-00080-1
CVE.org: CVE-2026-98432
Avots: avots: Proxmox
