Hai semuanya, apa kabar? Di tulisan sebelumnya aku udah bikin tulisan tentang update keamanan di Proxmox VE (sebenarnya berdampak juga ke sistem Linux lain) yaitu tentang PwnEscape (bisa dicek di sini: https://zaidan.web.id/2026/10/16/update-keamanan-proxmox-pwnescape/ ). Baru-baru ini aku cek kembali forum Proxmox ternyata ada update keamanan lagi. Kali ini celahnya ada di pakey qemu-server. Kabar baiknya, celah ini tidak separah PwnEscape, tapi kita perlu siaga (dan disarankan tetap update) karena dua di antara tiga (sehari rilis ada tiga update keamanan) dapat menyebabkan host PVE yang digunakan kehabisan memori.
Kita cek satu per satu.

QEMU Guest Agent Dapat Menyebabkan Host Kehabisan Memori (PSA-2026-00072-1)

QEMU Guest Agent (QGA) adalah komponen dalam VM PVE yang memungkinkan host (PVE) berkomunikasi dengan guest (VM) untuk melakukan berbagai hal. Misalnya mendapatkan info filesystem, berbagai opsi saat melakukan backup, dan juga untuk menjalankan perintah tertentu.

Celahnya adalah, saat PVE memproses respon dari QGA, tidak ada batas buffer yang memadai. Mislanya ada VM yang sudah dilengkapi dengan guest agent (dalam contoh celah ini, misalnya VM yang infected) mengirim respons atau perintah yang sangat besar atau berulang, PVE dapat kehabisan memori. Case ini juga bisa disebut dengan memory exhaustion denial of service.

Tujuannya bukan untuk mencuri data atau mengambil alih host, namun bertujuan untuk membuat host PVE kehabisan memori (RAM) > crash > akan berdampak pada semua VM yang ada pada host tersebut.

pvedaemon Mati karena File-Read (PSA-2026-00073-1)

Masih berkaitan dengan QGA, celah kali ini ada pada penanganan perintah file-read dari QGA dan berkaitan dengan pvedaemon juga. pvedaemon adalah daemon (program/service yang berjalan di latar belakang) yang bertugas menangani API dan web interface. Apabila pada VM ada QGA yang sudah dimodifikasi (atau infected), VM tersebut dapat trigger pvedaemon untuk melakukan alokasi memori terus menerus sampai kernel sistem melakukan OOM kill (a safety mechanism used by the Linux kernel to terminate a process when the system or container runs out of physical RAM and swap space) dan mematikan pvedaemon.

Dampak dari aksi ini adalah web interface tidak dapat diakses, API tidak berfungsi dan dapat mengganggu operasional cluster. Serangan ini juga bukan berupa privilege escalation, serta perlu adanya QGA “jahat” yang ada di dalam VM untuk serangan ini dapat terjadi. Meskipun begitu, serangan atau celah keamanan ini tetap menyebabkan gangguan layanan yang serius.

## Perintah HMP Bisa Bocorkan Layout Memori (PSA-2026-00074-1)

Ini adalah serangan atau celah yang paling “soft” pada rilis keamanan kali ini. QEMU memiliki interface dengan nama Human Monitor Protocol (HMP). HMP merupakan suatu interactive console untuk mengelola QEMU. HMP memiliki beberapa fungsi/perintah:

• gpa2hpa — menerjemahkan Guest Physical Address ke Host Physical Address
• gpa2hva — menerjemahkan Guest Physical Address ke* Host Virtual Address
• i — membaca dari I/O port

Perintah-perintah di atas dapat berjalan dengan hak akses Sys.Modify, seharusnya hanya dapat dijalankan oleh root. Akibatnya, pengguna PVE dengan hak akses Sys.Modify dapat melihat memory layout dari QEMU atau membaca isi I/O port. Walaupun tidak “separah” celah keamanan yang pernah disebutkan sebelumnya, tapi informasi memory layout adalah bahan berharga buat attacker yang mau menyusun eksploitasi lebih lanjut.

Mitigasi

Sama dengan celah lain, mitigasi dapat dilakukan dengan cara update & upgrade sistem Proxmox VE:

apt update
apt dist-upgrade

Pastikan paket qemu-server sudah di versi 9.2.11 atau lebih tinggi. Kalau angkanya sudah 9.2.11 atau lebih, berarti aman. Gunakan perintah berikut untuk cek versi qemu-server:

dpkg-query -W -f '${Version}\n' qemu-server

Catatan: karena qemu-server bukan kernel, biasanya tidak perlu reboot. Tapi kalau setelah update ada VM yang perlu restart supaya perubahan perilaku QGA berlaku, pertimbangkan untuk menjadwalkan restart VM di maintenance window berikutnya.

Tulisan kali ini sampai di sini dulu ya. Sampai jumpa. Bye.

Referensi

• https://forum.proxmox.com/threads/proxmox-virtual-environment-security-advisories.149331/page-5