Proxmox 2026. gada 12. novembrī publicēja drošības paziņojumu PSA-2026-00100-1 par komandu čaulas pēdiņu trūkumu failu augšupielādes kļūdu apstrādē. Ievainojamība skar Proxmox Virtual Environment komponenti libpve-storage-perl. Īpaši izveidota situācija, kurā faila pārsūtīšana neizdodas, var ļaut uzbrucējam PVE mezglā izpildīt patvaļīgas komandas ar root tiesībām. Proxmox norāda, ka problēma atklāta iekšējā drošības pārbaudē.
Oficiālajā paziņojumā nav piešķirts CVE identifikators un nav nosaukts precīzs ievainojamo versiju sākuma diapazons. Proxmox kā laboto laidienu norāda libpve-storage-perl 9.1.15 vai jaunāku versiju. Tādēļ administratoriem nevajadzētu izsecināt drošību tikai pēc PVE galvenās versijas numura: jāpārbauda tieši instalētās pakotnes versija un jāņem vērā aktivizēto oficiālo repozitoriju piedāvātie atjauninājumi.
Riska būtiskums ir augsts, jo veiksmīgas izmantošanas rezultāts ir komandu izpilde ar visaugstākajām sistēmas tiesībām. Tas potenciāli var ietekmēt mezgla konfigurāciju, glabātuves un tajā darbināto virtuālo mašīnu vai konteineru pieejamību. Vienlaikus Proxmox paziņojums neapstiprina aktīvu izmantošanu savvaļā, nenorāda publisku ekspluatācijas kodu un neapraksta visus priekšnoteikumus, tāpēc nav pamata apgalvot, ka katra failu augšupielādes kļūda automātiski nozīmē kompromitāciju.
Savas sistēmas versiju var pārbaudīt ar dpkg-query -W libpve-storage-perl vai apt policy libpve-storage-perl. Pirms atjaunināšanas ieteicams pārbaudīt rezerves kopiju atjaunojamību un saglabāt svarīgās konfigurācijas. Pēc tam izmantojiet tikai Proxmox dokumentēto atjaunināšanas ceļu un oficiālos repozitorijus, izpildot pakotņu saraksta atjaunošanu un pilnu sistēmas atjaunināšanu. Klasterī mezglus apstrādājiet secīgi: pārvietojiet vai apturiet slodzes, saglabājiet kvorumu un pirms nākamā mezgla pārbaudiet pirmā mezgla darbību.
Pēc atjaunināšanas vēlreiz apstipriniet, ka instalēta vismaz libpve-storage-perl 9.1.15, un pārbaudiet PVE pakalpojumu un glabātuvju darbību. Paziņojumā nav prasīts obligāts mezgla restarts, tādēļ sekojiet pakotņu pārvaldnieka norādēm; ja sistēma pēc pilnā atjauninājuma pieprasa pārstartēšanu, klasterī to veiciet pa vienam mezglam. Līdz atjaunināšanai ierobežojiet administrācijas saskarnes pieejamību un failu augšupielādes tiesības tikai uzticamiem administratoriem.
Avoti
Proxmox drošības paziņojums PSA-2026-00100-1
Avots: avots: Proxmox
