CVE-2023-54391: Autentificeringsfejl i Proxmox VE
Proxmox VE 7.0-8.0 lod angribere logge ind som enhver bruger, også root, uden adgangskode. Opdatér til 8.0.4 eller nyere version.
Hvad er det?
CVE-2023-54391 er en sårbarhed i adgangskontrolkomponenten libpve-access-control i Proxmox Virtual Environment (VE), som er en platform til at drive virtuelle maskiner og containere. Fejlen ligger i, hvordan systemet håndterer totrinsbekræftelse, kaldet 2FA, ved login. Login-endepunktet i API’en accepterer en vilkårlig værdi i parameteren tfa-challenge og springer derefter helt over kontrollen af adgangskode. En angriber, der kender et brugernavn, kan derfor logge ind uden at kende adgangskoden eller have den anden faktor, forudsat brugeren er aktiveret. Det gælder også kontoen root@pam, som har fuld administratorrettighed over hele Proxmox-installationen.
Hvem rammer det?
Sårbarheden rammer Proxmox VE i versionerne 7.0 til 8.0, hvor libpve-access-control er ældre end 8.0.4. Det gælder virksomheder og kommuner, der selv driver virtualisering på egne servere, samt hostingpartnere og it-driftsleverandører, der bruger Proxmox til at afvikle kundernes virtuelle maskiner. Alle de nævnte versioner er nu udfaset (end of life) og modtager ikke længere sikkerhedsopdateringer på den specifikke gren, hvilket betyder, at man skal opgradere til en nyere, understøttet udgave af Proxmox VE.
Hvad kan ske?
En angriber, der kan nå Proxmox-administrationsgrænsefladen over netværket, kan logge ind som root@pam eller en anden aktiv bruger uden adgangskode. Dermed får angriberen fuld kontrol over virtualiseringsplatformen: adgang til at oprette, slette og manipulere alle virtuelle maskiner, læse data fra dem og installere skadelig software på selve værten. Rammer det en hostingpartner eller en intern it-afdeling, kan konsekvensen sprede sig til alle kunder eller afdelinger, hvis virtuelle servere kører på den samme fysiske maskine.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ingen adgangskode eller gyldigt login, ingen handling fra en bruger, og det kan udføres over netværket uden lokal adgang. Kompleksiteten er lav, så et fungerende angreb kan gennemføres med en enkelt velformet forespørgsel. Der er ikke oplysninger om, at sårbarheden aktivt udnyttes i angreb, men den tekniske beskrivelse er detaljeret nok til, at et angrebsværktøj kan bygges hurtigt.
Hvad gør jeg nu?
Følg punkterne i denne rækkefølge for at lukke hullet og begrænse skaden.
- Opdatér Proxmox VE, så libpve-access-control er version 8.0.4 eller nyere. Det lukker selve hullet.
- Kører I en udfaset version (7.x eller en tidlig 8.0-udgave), skal I opgradere til den nyeste understøttede hovedversion, da de gamle grene ikke får flere sikkerhedsopdateringer.
- Gennemgå login-logs for Proxmox-administrationsgrænsefladen for usædvanlige eller mislykkede login-forsøg, især på root@pam og konti med totrinsbekræftelse.
- Skift adgangskoder for administratorkonti som forholdsregel, hvis I ikke kan udelukke, at sårbarheden har været udnyttet.
- Begræns netværksadgangen til Proxmox-administrationsgrænsefladen, så den kun kan nås fra betroede interne netværk eller via VPN.
- Er I i tvivl om, hvilken version I kører, eller om systemet allerede er kompromitteret, bør I inddrage en ekstern it-sikkerhedsrådgiver til en gennemgang.
Opdatér inden for 24 timer
Vi anbefaler, at I opdaterer Proxmox VE til version 8.0.4 eller nyere uden at vente, da sårbarheden kan udnyttes uden login og giver fuld administratoradgang. Kører I stadig på en af de udfaste versioner, bør opgraderingen til nyeste understøttede udgave planlægges samtidig, da den gamle gren ikke længere modtager sikkerhedsopdateringer. Det er kun forsvarligt at vente, hvis administrationsgrænsefladen slet ikke er tilgængelig fra netværk uden for et strengt afgrænset og overvåget internt segment.
Tidslinje
Konkrete eksempler
En it-driftspartner med flere kunder på samme Proxmox-server
En mindre dansk it-driftspartner kører virtuelle servere for fem kundevirksomheder på en fælles Proxmox VE-installation med en udfaset version. En angriber finder administrationsgrænsefladen tilgængelig fra internettet og logger ind som root@pam uden adgangskode ved at sende en vilkårlig værdi i tfa-challenge. Angriberen får dermed adgang til alle fem kunders virtuelle servere samtidig og kan installere skadelig software eller stjæle data fra dem alle.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vores Proxmox-installation er ramt?
Tjek versionen af pakken libpve-access-control på jeres Proxmox VE-server. Er den ældre end 8.0.4, og kører I en version mellem 7.0 og 8.0, er installationen sårbar. Versionen kan ses i Proxmox-webgrænsefladen eller via kommandolinjen på serveren.
Kan vi vente til weekenden med at opdatere?
Det kan I kun, hvis administrationsgrænsefladen ikke er tilgængelig fra internettet eller fra et bredt internt netværk. Er den det, bør opdateringen ske samme dag, da angrebet ikke kræver login og kan udføres af enhver, der kan nå login-siden.
Er vores virtuelle maskiner også i fare, eller kun administrationsgrænsefladen?
En angriber, der får administratoradgang via denne sårbarhed, kan tilgå og manipulere alle virtuelle maskiner på værten. Fejlen ligger i login til selve Proxmox-administrationen, men konsekvensen rammer alt, der drives på den pågældende server.
Skal vi anmelde dette som et sikkerhedsbrud?
Kun hvis I finder konkrete tegn på, at sårbarheden er blevet udnyttet, og at persondata eller andre beskyttede oplysninger er blevet tilgået eller ændret. Gennemgå login-logs, før I tager stilling til, om der er sket en anmeldelsespligtig hændelse.
Vi bruger en ekstern hostingpartner til vores Proxmox-drift. Hvad skal vi gøre?
Kontakt hostingpartneren og spørg direkte til, hvilken version af Proxmox VE og libpve-access-control der er i drift, og om opdateringen til 8.0.4 eller nyere er gennemført. Bed om skriftlig bekræftelse, hvis I har databehandleraftale, der forpligter dem til at opdatere.
Beskytter totrinsbekræftelse os mod dette angreb?
Nej. Sårbarheden gør, at angriberen kan omgå kontrollen af totrinsbekræftelse fuldstændigt ved at sende en vilkårlig værdi i login-anmodningen. Totrinsbekræftelse giver derfor ikke ekstra beskyttelse, før opdateringen er installeret.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Proxmox Virtual Environment (VE) 7.0 through 8.0 contains an authentication bypass vulnerability in libpve-access-control before 8.0.4 that allows unauthenticated attackers to authenticate as any existing enabled user without a configured second factor by supplying an arbitrary tfa-challenge value in the API login endpoint. Attackers can send a POST request to the access ticket API endpoint with any value in the tfa-challenge parameter to completely skip password verification, gaining unauthorized access including to the root@pam account. All affected releases are end of life.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.