CVE-2024-21545
Açıklama
Proxmox Virtual Environment, kurumsal sanallaştırma için açık kaynaklı bir sunucu yönetim platformudur. Kötü niyetli API yanıt değerlerine karşı yetersiz korumalar, 'Sys.Audit' veya 'VM.Monitor' ayrıcalıklarına sahip kimliği doğrulanmış saldırganların API aracılığıyla rastgele ana bilgisayar dosyalarını indirmesine olanak tanır. Bir istek işleyiciden gelen sonuç kullanıcıya döndürülmeden önce işlenirken, handle_api2_request fonksiyonu, istek işleyici çağrı yanıt nesnesi içindeki ‘download’ veya ‘data’->’download’ nesnelerini kontrol eder. Eğer mevcutsa, handle_api2_request bu nesne tarafından tanımlanan yerel bir dosyayı okur ve kullanıcıya döndürür. İstek işleyici tarafından döndürülen nesneyi, ’download’ nesnesinin tanımlanacağı ve kullanıcı tarafından kontrol edilebileceği ölçüde yönetebilen iki uç nokta tespit edilmiştir. Bu durum, rastgele dosya okunmasına yol açar. Bu dosya okuma ayrıcalıkları, ayrıcalıklı oturum sahteciliğine izin veren hassas dosyaların ifşa edilmesi gibi çeşitli etkilerle sistemin tamamen ele geçirilmesiyle sonuçlanabilir.
Nasıl düzeltilir
- Proxmox pve-manager7.4-19, 8.2.7 ya da sonraki bir sürüm
- Proxmox libpve-storage-perl7.4-4, 8.2.5 ya da sonraki bir sürüm
- Proxmox libpve-http-server-perl4.3.0, 5.1.1 ya da sonraki bir sürüm
- Proxmox pmg-api7.3-12, 8.1.4 ya da sonraki bir sürüm
- Proxmox libpve-common-perl (Promox VE 8)8.2.3 ya da sonraki bir sürüm
- Proxmox libpve-common-perl (Promox Mail Gateway 8)8.2.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Proxmox pve-manager | v < 7.4-19, 8.0.0 ≤ v < 8.2.7 | 7.4-19, 8.2.7 |
| Proxmox libpve-storage-perl | v < 7.4-4, 8.0.0 ≤ v < 8.2.5 | 7.4-4, 8.2.5 |
| Proxmox libpve-http-server-perl | 3.2-1 ≤ v < 4.3.0, 5.0.0 ≤ v < 5.1.1 | 4.3.0, 5.1.1 |
| Proxmox pmg-api | v < 7.3-12, 8.0.0 ≤ v < 8.1.4 | 7.3-12, 8.1.4 |
| Proxmox libpve-common-perl (Promox VE 8) | v < 8.2.3 | 8.2.3 |
| Proxmox libpve-common-perl (Promox Mail Gateway 8) | v < 8.2.5 | 8.2.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.