Proxmox 2026. gada 10. novembrī publicēja drošības paziņojumu PSA-2026-00095-1 par kļūdainām privilēģiju pārbaudēm, mainot LXC konteinera virtuālās tīkla kartes iestatījumus. Ievainojamība atrodas paketē pve-container. Tā ļāva autentificētam lietotājam, kuram jau ir tiesības pārkonfigurēt konteinera tīkla interfeisu, norādīt tiltu jeb bridge vai SDN virtuālo tīklu jeb VNet, kuram šim lietotājam citādi nebūtu piekļuves. Proxmox norāda, ka problēma ir novērsta versijā pve-container 6.1.17 un jaunākās versijās.
Šis nav neautentificēts uzbrukums un paziņojumā nav aprakstīta attālināta koda izpilde. Tomēr nepilnīga piekļuves kontrole ir būtiska daudzlietotāju, hostinga un deleģētas administrēšanas vidēs: konta īpašnieks ar ierobežotām konteinera konfigurēšanas tiesībām varēja piesaistīt NIC neatļautam tīkla segmentam. Tas var vājināt paredzēto tīklu izolāciju, ļaut sasniegt infrastruktūras vai citu klientu segmentus un radīt neatbilstību ieviestajai ACL politikai. Proxmox saņēma ziņojumu privāti no Yuliang Xiao; paziņojumā nav norādīts CVE identifikators vai pierādījumi par ievainojamības aktīvu izmantošanu.
Kā pārbaudīt savu vidi. Administratoriem katrā Proxmox VE mezglā jānoskaidro instalētā pakotnes versija, piemēram, ar dpkg-query -W pve-container vai pilno komponentu pārskatu pveversion -v. Par labotu uzskatāma pve-container versija 6.1.17 vai jaunāka. Papildus ieteicams pārskatīt lietotājiem un API tokeniem piešķirtās konteinera konfigurēšanas tiesības, konteineru NIC iestatījumus, izmantotos Linux bridge un SDN VNet, kā arī izmaiņu žurnālus kopš pēdējās uzticamās konfigurācijas pārbaudes. Īpaša uzmanība vajadzīga vidēm, kur klientiem vai komandām deleģēta sava konteinera tīkla pārvaldība.
Ieteicamā rīcība. Pirms atjaunināšanas izveidojiet aktuālu konfigurācijas un kritisko konteineru rezerves kopiju, pārbaudiet tās atjaunošanas iespēju un izmantojiet tikai oficiālos Proxmox repozitorijus un atbalstīto atjaunināšanas ceļu. Pēc apt update instalējiet pieejamos atjauninājumus un vēlreiz pārbaudiet pve-container versiju. Klasterī mezglus apstrādājiet pa vienam, vispirms pārliecinoties par kvorumu un migrācijas vai HA plānu. Proxmox paziņojums neprasa obligātu mezgla pārstartēšanu, tomēr pēc atjauninājuma jāizvērtē ietekmēto pakalpojumu pārstartēšana vai plānots mezgla restarts saskaņā ar organizācijas izmaiņu procedūru.
Secinājums. PSA-2026-00095-1 ir augstas praktiskas nozīmes piekļuves kontroles labojums vidēm ar deleģētu administrēšanu. Drošākais solis ir nekavējoties ieviest pve-container 6.1.17 vai jaunāku versiju, līdz tam ierobežojot NIC konfigurēšanas tiesības tikai uzticamiem administratoriem. Avoti: Proxmox drošības paziņojums PSA-2026-00095-1.
Avots: avots: Proxmox
