Update Keamanan Proxmox: Celah Baru di ESXi Importer

Tanggal 12 Oktober 2026 tim Proxmox merilis info vuln lagi. Kali ini menyangkut fitur ESXi Importer – fitur yang digunakan untuk migrasi dari VMware ke Proxmox VE. Celah ini dapat berisiko membuat file yang ada pada host Proxmox VE jadi “bocor”.

Fitur native import tools untuk migrasi VM dari VMware ke Proxmox VE sudah hadir sejak Proxmox VE versi 8.2. Cara kerjanya adalah kita dapat menambahkan server VMware sebagai storage di Proxmox VE, lalu sistem PVE akan membaca file .vmx yang ada pada server VMware dan menarik data disk-nya. Proses pengambilan data ini melibatkan file parsing dari .vmx. Isi dari .vmx ada konfigurasi VM dan juga path ke disk file.

Celah Path Traversal

Vuln PSA-2026-00066-1 menyebutkan ada masalah pada libpve-storage-perl, yaitu paket yang menangani storage plugin di Proxmox VE, termasuk ESXi Importer. Validasi path yang tidak lengkap di ESXi importer memungkinkan penyerangyang punya akses ke ESXi yang terkonfigurasi dengan privilege tertentu untuk memicu import dan membocorkan isi arbitrary file dari path yang berakhiran .vmx.

Dengan kata lain, apabila penyerang memiliki akses dan dapat mengendalikan file .vmx di sisi VMware-nya, penyerang dapat membuat path untuk “keluar” dari direktori sebenrarnya. Sistem Proxmox bisa membaca file yang “terinfeksi” tersebut dan apabila isinya dikirim balik ke attacker (misalnya lewat error message atau log), terjadilah kebocoran. Celah ini yagn dinamakan path traversal, yaitu manipulasi path untuk mengakses file di luar direktori yang diizinkan.

Sebagai ilustrasi, ini adalah gambaran serangan yang mungkin terjadi:

• Ada ESXi yang dikonfigurasi sebagai storage di Proxmox.
• Penyerang punya akses ke ESXi tersebut (atau bisa memodifikasi file .vmx di sana).
• Penyerang membuat file .vmx dengan referensi ke file sensitif di host Proxmox, misalnya /etc/passwd atau /root/.ssh/id_rsa.
  • Ketika admin menjalankan import, Proxmox membaca path tersebut dan, karena validasi yang kurang, file itu ikut terbaca.
• Isi file bisa bocor lewat respon error atau log.

Mitigasi

Celah ini sudah diperbaiki/ditambal oleh tim Proxmox. Perbaikannya ada di:

`libpve-storage-perl` >= 9.1.12

Jika teman-teman pakai Proxmox VE 9.x, pastikan paket ini sudah di-update ke versi 9.1.12 atau lebih tinggi. Cek dengan:

dpkg-query -W -f '${Version}\n' libpve-storage-perl

Kalau angkanya sudah 9.1.12 atau lebih, berarti aman. Selain update paket, ada beberapa hal yang dapat dilakukan untuk mengurangi risiko serangan atau celah keamanan:

• Review akses ke ESXi source. Siapa saja yang punya akses ke ESXi yang dikonfigurasi sebagai import source? Batasi sesuai kebutuhan.
• Batasi siapa akses ke file .vmx di sisi ESXi. File konfigurasi VM seharusnya tidak bisa diubah sembarangan.
• Pantau import log . Kalau ada aktivitas import yang mencurigakan, segera investigasi.

Tulisan kali ini sampai di sini dulu ya. Sampai jumpa. Bye.