Hai semuanya, apa kabar? Beberapa hari yang lalu aku tulis tentang update celah keamanan di Proxmox (bisa cek tulisan ini: https://zaidan.web.id/2026/10/12/update-keamanan-proxmox-celah-baru-di-esxi-importer/ ).
Hari ini, tim Proxmox merilis informasi celah terbaru lagi. Salah satu faktor yang mungkin berpengaruh adalah perkembangan AI yang pesat, celah keamanan juga jadi lebih “cepat” terdeteksi.
Celah keamanan kali ini berkaitan dengan Virtual Machine Archive – VMA yaitu format archive yang digunakan Proxmox untuk melakukan backup pada VM.
Virtual Machine Archive – VMA
VMA adalah format arsip yang digunakan Proxmox untuk menyimpan backup VM. Di dalam VMA terdapat konfigurasi VM, disk image, dan metadata lain yang diperlukan untuk melakukan restore VM. Format VMA ini sudah lama dipakai Proxmox, bahkan sebelum adanya Proxmox Backup Server (PBS). Meskipun sekarang banyak yang migrasi ke PBS dengan format .pxar, VMA masih tetap ada dan didukung, terutama buat restore backup lama atau environment yang belum pakai PBS.
Celah: Path Escape Saat Ekstraksi
Celah kali ini berkaitan dengan masalah pada paket pve-qemu-kvm. Attacker yang melakukan restore pada file VMA yang dibuat secara khusus, dapat memicu proses “timpa file”. Simpelnya: kalau ada file VMA yang dirancang jahat, dan file itu di-restore, isinya bisa “keluar” dari direktori yang seharusnya dan menimpa file di mana saja di host Proxmox.
Celah ini mirip dengan celah pxar pada tulisan sebelumnya. Bedanya, pxar berkaitan dengan CT (container), sedangkan VMA berkaitan edngan VM.
Note: Menulis file VMA “raw” tidak mungkin dilakukan via PVE API atau fitur backup, tapi memerlukan akses langsung ke filesystem di mana arsip backup disimpan.
Ini artinya: attacker tidak bisa membuat file VMA jahat lewat UI atau API Proxmox dengan akses normal. Fitur backup Proxmox akan menghasilkan file VMA dengan struktur yang benar. Untuk membuat file VMA jahat, attacker harus punya akses langsung ke storage tempat file backup disimpan.
Celah serangan ini bisa dibilang “lebih kecil” karena attacker tidak dapat melakukan serangan dengan akses ke web interface PVE/API dari PVE saja, melainkan harus punya akses ke backup filesystem terlebih dahulu, misalnya ke NFS share, ke storage lokal, atau ke Proxmox Backup Server sebagai datastore, baru celah ini bisa dieksploitasi.
Skenario Serangan
- Ada backup storage yang dipakai Proxmox untuk menyimpan file VMA. Bisa NFS, CIFS, storage lokal, atau bahkan direktori di host yang sama.
- Attacker punya akses write ke storage tersebut (entah lewat kredensial NFS yang bocor, akses ke share, atau akses langsung ke filesystem).
- Attacker mengunggah file VMA jahat ke backup storage .
- Ketika admin (atau proses otomatis) melakukan restore dari file VMA tersebut, ekstraksi berjalan sebagai root—dan file jahat bisa menimpa file di host, seperti
/etc/passwd,/root/.ssh/authorized_keys, atau file konfigurasi lain. - Attacker punya foothold (titik awal yang berhasil dikuasai attacker di dalam sistem target) di host.
Mitigasi
Proxmox sudah menambal celah ini. Perbaikannya ada di paket pve-qemu-kvm, dengan versi minimum berbeda tergantung QEMU yang dipakai:
pve-qemu-kvm >= 11.1.1-2 (QEMU 11.1+)
pve-qemu-kvm >= 11.0.3-4** (QEMU 11.0)
Kalau versinya sudah sesuai (atau lebih tinggi), berarti aman.
Selain itu, untuk menjaga keamanaan infrastruktur, disarankan:
- Update paket
pve-qemu-kvmke versi yang sesuai dengan QEMU yang teman-teman pakai. - Review akses ke backup storage . Siapa saja yang punya akses tulis ke NFS share, CIFS share, atau direktori backup? Batasi seminimal mungkin.
- Batasi akses langsung ke filesystem tempat file VMA disimpan. Idealnya, hanya admin Proxmox yang punya akses tulis ke sana.
- Pantau aktivitas restore yang mencurigakan. Restore dari sumber yang tidak dikenal atau file yang baru saja diunggah adalah red flag.
- Update rutin. Lima advisory dalam dua minggu bukan alasan untuk panik, tapi alasan untuk disiplin update.
Tulisan kali ini sampai di sini dulu ya. Sampai jumpa. Bye.