Hai semuanya, apa kabar? Kemarin aku udah tulis update keamanan Proxmox ( https://zaidan.web.id/2026/10/06/update-keamanan-proxmox-ve-oktober-2026/ ) dan pas aku cek forum Proxmox ternyata ada update lagi. Belakangan ini banyak sistem (gak cuma Proxmox aja) yang mendapatkan update keamanan dalam waktu singkat. Sepertinya karena AI juga makin berkembang sehingga vuln atau kerentanan sistem bisa dideteksi dengan lebih cepat.

Apa Itu pxar?

Kembali lagi ke topik update keamanan terbaru (per 7 Oktober 2026). Vuln kali ini berkaitan dengan pxar, yaitu format arsip yang digunakan pada Proxmox Backup Server (PBS) dalam hal host & container backup. pxar adalah Proxmox File Archive Format, yaitu format archive yang dikembangkan oleh Proxmox untuk digunakan pada PBS dan dioptimalkan untuk deduplikasi data yang lebih efisien (agar lebih hemat ruang penyimpanan). Ada beberapa “jenis” file pxar:

• .pxar : arsip utama yang berisi metadata dan payload file
• .mpxar : arsip metadata (tanpa payload file, cuma referensi)
• .ppxar : arsip payload yang menyimpan isi file sebenarnya
• .pcat1 : catalog file buat navigasi cepat isi arsip

Saat kita pulihkan CT dari backup yang disimpan pada PBS, pve-container akan mengekstrak archive pxar ke rootfs tujuan.

Celah pxar dengan Dua Root Entry

Celah yang ada memungkinkan hacker yang memiliki akses langsung ke datastore dari PBS yang sudah diintegrasikan dengan PVE untuk membuat dan memasukkan archive pxar yang “infected” atau berbahaya (di mana pxar tersebut memiliki dua root entry).

Secara normal, sebuah arsip pxar memiliki satu buah “pintu masuk” (single root entry) untuk mengarah ke direktori utama (misalnya /var/lib/lxc/100/rootfs). Sistem membuka arsip tersebut, lalu mengeluarkan dan mengarahkan isi arsip tersebut ke direktori tujuan (ke rootfs) tanpa bocor ke tempat lain.

Dengan vuln yang memiliki multiple root entries, celahnya adalah arsip pxar dapat memiliki lebih dari satu akses. Satu akses utama (ke rootfs target) dan satu lagi menunjuk ke lokasi lain pada host.

Sebenarnya, format pxar memang memungkinkan multiple root entries dan penggunaan “lurus”-nya adalah untuk file arsip yang membutuhkan beberapa mount point. Namun pve-container tidak melakukan validasi bahwa saat proses container restore seharusnya hanya satu buah root entry yang diizinkan/diproses. Inilah yang menjadi celah.

Analogi sederhana dari celah ini adalah “kita mau restore CT ke dalam “kamar” (rootfs), tapi arsipnya malah nyuruh sistem nulis file ke “ruang tamu” atau bahkan “kamar utama” (host)” .

Dampak dan Mitigasi

Celah ini bukan berupa remote-authenticated vulnerability atau celah yang dapat dieksploitasi di jaringan publik atau internet oleh banyak orang. Penyerang atau hacker perlu akses langsung ke datastore PBS yang sudah diintegrasikan pada PVE. Selain itu, penyerang juga perlu memiliki hak akses untuk upload arsip pxar ke datastore tersebut dan juga butuh akses restore yang berjalan sebagai privileged container/ run as root. Jadi celah ini lebih ke berjenis privilege escalation/sandbox escape. Walaupun begitu celah ini bukanlah isu yang bisa diremehkan begitu saja.

Mitigasi dari celah ini dapat kita lakukan dengan melakukan update paket proxmox-backup-client. Versi yang sudah “ditambal” adalah versi 4.2.7-1 ke atas. Update ini menyebabkan proxmox-backup-client sekarang akan menolak mengikuti symlink selama ekstraksi direktori atau hardlink.

Patch utamanya ada di proxmox-backup-client, dan paket ini terinstal di kedua sisi (baik di host PVE yang melakukan restore, maupun di server PBS itu sendiri), maka langkah update-nya adalah:

Di Host Proxmox VE (PVE): Update paket pve-container dan proxmox-backup-client di setiap node PVE. Perlu dilakukan karena restore CT terjadi di host PVE.

    apt update
    apt dist-upgrade
    # Pastikan proxmox-backup-client ter-update ke versi >= 4.2.7-1
    dpkg-query -W -f '${Version}\n' proxmox-backup-client

Di Server Proxmox Backup Server (PBS): Update paket proxmox-backup-client (dan komponen PBS terkait) di server PBS. Ini penting agar sisi server juga memiliki validasi yang sama terhadap arsip pxar yang diproses.

    apt update
    apt dist-upgrade

Tulisan kali ini sampai di sini dulu ya. Sampai jumpa. Bye