Proxmox 2026. gada 2. un 3. novembrī publicēja piecus Proxmox VE drošības paziņojumus — PSA-2026-00081-1 līdz PSA-2026-00085-1. Tie skar autentifikāciju, LXC konteineru apkalpošanu, klastera konfigurācijas failu sistēmu, virtuālo viesu atjaunošanu un attālināto migrāciju. Daļa problēmu var novest līdz citas identitātes izmantošanai, hosta root līmeņa koda izpildei vai sveša viesa pārrakstīšanai, tādēļ administratoriem atjaunināšana jāieplāno bez liekas kavēšanās.
PSA-2026-00081-1 skar libpve-common-perl autentifikācijas biļešu lietotājvārdu kodēšanu. Noteiktos apstākļos uzbrucējs, kuram ir lietotāju izveides tiesības vai piekļuve atbilstošam OIDC, LDAP vai Active Directory identitāšu avotam, varēja uzdoties par citu lietotāju tajā pašā autentifikācijas apgabalā. Labojums pieejams libpve-common-perl 9.2.5 un jaunākās versijās.
PSA-2026-00082-1 novērš sacensības nosacījumu pve-container darbībās pct mount un pct fstrim. Uzbrucējs ar piekļuvi palaistam LXC konteineram varēja mēģināt mainīt montēšanas punktu hierarhiju īstajā brīdī, panākt kontrolēta kataloga montēšanu patvaļīgā hosta ceļā un ķēdēt to līdz koda izpildei ar root tiesībām. Labojums iekļauts pve-container 6.1.15 un jaunākās versijās.
PSA-2026-00083-1 apkopo vairākus pmxcfs drošības un izturības uzlabojumus. Tie novērš pakalpojuma atteices scenārijus pie liela viesu skaita, nenolasītām IPCC atbildēm un noteiktām failu vai ceļu apstrādes situācijām, kā arī ierobežo iespēju www-data grupas lietotājiem nolasīt root paredzētus failus. Papildus stiprināta garumu un kļūdu pārbaude, novērsta pārpilde un API marķieru salīdzināšana mainīta uz konstantā laika operāciju. Labojumi pieejami pve-cluster 9.1.7 un jaunākās versijās.
PSA-2026-00084-1 skar virtuālo mašīnu un konteineru atjaunošanas API. Nepareizas resursu pūlu ACL pārbaudes dēļ lietotājs ar VM.Allocate tiesību vienā pūlā varēja pārrakstīt patvaļīgu jau esošu viesi, radot datu, konfigurācijas un pakalpojumu pieejamības risku. PSA-2026-00085-1 savukārt novērš nepilnīgas tiesību pārbaudes izejošajā attālinātajā migrācijā: ar VM.Migrate vien nepamatoti pietika darbībai, kas dod piekļuvi viesa konfigurācijai un noteiktos apstākļos ļauj viesi avota pusē noņemt. Abu problēmu labojumi ir qemu-server 9.2.13 un pve-container 6.1.15 vai jaunākās versijās.
Vispirms atjauniniet pakotņu indeksus un ar dpkg-query vai apt-cache policy pārbaudiet libpve-common-perl, pve-container, pve-cluster un qemu-server instalētās un pieejamās versijas. Pirms izmaiņām pārliecinieties par aktuālām rezerves kopijām un klastera kvorumu. Vairāku mezglu vidē atjauniniet pa vienam mezglam, pēc katra soļa pārbaudot pmxcfs un pve-cluster servisus, autentifikāciju, LXC administrēšanu, pūlu ACL, atjaunošanu un migrāciju. Proxmox paziņojumi neprasa obligātu hosta pārstartēšanu; ievērojiet pakotņu pārvaldnieka un savas uzturēšanas politikas norādes.
Līdz atjaunināšanai ierobežojiet lietotāju izveides, VM.Allocate un VM.Migrate tiesības, apturiet nevajadzīgas pct mount, pct fstrim, restore un attālinātās migrācijas darbības un pārskatiet uzdevumu žurnālus. Proxmox šiem pieciem paziņojumiem nav norādījis CVE identifikatorus vai aktīvu izmantošanu, tomēr deleģētas administrēšanas un neuzticamu LXC slodžu vidēs risks ir īpaši būtisks. Avoti: PSA-2026-00081-1; PSA-2026-00082-1; PSA-2026-00083-1; PSA-2026-00084-1; PSA-2026-00085-1.
