Proxmox 2026. gada 30. oktobrī publicēja piecus Proxmox VE drošības paziņojumus — PSA-2026-00075 līdz PSA-2026-00079. Tie novērš problēmas xterm.js URL parametros, resursu kopu piekļuves kontrolē, tīkla konfigurācijas laukos, datu centra consent-text iestatījumā un Ceph instalēšanas komandās. Divas no kļūdām varēja novest līdz patvaļīgu komandu izpildei ar root tiesībām, tādēļ Proxmox VE administratoriem atjauninājumi jāuzstāda prioritāri.
PSA-2026-00075: xterm.js konsoles lapā netika pietiekami pārbaudīti URL parametri. Uzbrucējs, pierunājot autentificētu lietotāju atvērt īpaši sagatavotu saiti, varēja lietotāja vārdā izraisīt gandrīz patvaļīgus POST pieprasījumus. Labojums pieejams paketē pve-xtermjs 6.0.0-3 vai jaunākā.
PSA-2026-00076: konkrētas resursu kopas informāciju bija iespējams pieprasīt bez nepieciešamās Pool.Audit atļaujas. Šī piekļuves kontroles nepilnība varēja atklāt informāciju lietotājiem, kuriem to nevajadzēja redzēt. Problēma novērsta pve-manager 9.2.23 un jaunākās versijās.
PSA-2026-00077: vairākiem tīkla konfigurācijas laukiem, kurus API izmanto faila /etc/network/interfaces veidošanai, trūka pienācīgas ievades pārbaudes. Lietotājs vai API tokens ar Sys.Modify tiesībām uz konkrēto mezglu varēja ievietot konfigurācijā papildu rindas. Tā kā tīkla pārlādes vai sistēmas starta laikā daži iestatījumi spēj izpildīt komandas, tas varēja nodrošināt tiesību paaugstināšanu līdz root. Labojums ir pve-manager 9.2.23 vai jaunāks.
PSA-2026-00078: nepilnīga datu centra consent-text lauka definīcija ļāva augsti privileģētam uzbrucējam ievietot patvaļīgu saturu Proxmox tīmekļa saskarnes veidnē, radot XSS risku. Šī ievainojamība skāra pve-manager un libpve-cluster-perl; oficiālais labojums ietverts pve-manager 9.2.24 un jaunākās versijās.
PSA-2026-00079: Ceph instalēšanas komandas parametri, kas caur xterm.js API tika nodoti termproxy, nebija pareizi ievietoti čaulas pēdiņās. Īpaši sagatavota saite varēja izraisīt patvaļīgu komandu izpildi ar root tiesībām, ja to atvēra lietotājs ar aktīvu root@pam sesiju. Problēma novērsta pve-manager 9.2.24 vai jaunākā versijā.
Ieteicamā rīcība: izveidojiet pārbaudītas dublējumkopijas, izpildiet atjaunināšanu tikai no oficiālajiem Proxmox repozitorijiem un pārbaudiet, ka uzstādītas vismaz norādītās pakotņu versijas. Klasterī mezglus atjauniniet secīgi, saglabājot kvorumu un pārbaudot HA un Ceph veselību. Līdz atjaunināšanai neatveriet nepārbaudītas saites pārlūkā ar aktīvu Proxmox administrēšanas sesiju, ierobežojiet Sys.Modify tiesības un ikdienas darbībām neizmantojiet root@pam, ja tas nav nepieciešams.
Avoti: PSA-2026-00075 · PSA-2026-00076 · PSA-2026-00077 · PSA-2026-00078 · PSA-2026-00079
