Hai semuanya, apa kabar? Sebelumnya aku udah nulis blog tentang kerentanan QGA (bisa cek link ini https://zaidan.web.id/2026/10/19/update-keamanan-proxmox-qemu-guest-agent/ ) ternyata ada juga kerentanan yang sempat terlewat (gak ditulis blogpost-nya. Proxmox merilis update kerentanan terkait cloud-init. Kerentanan ini juga masih berkaitan dengan paket qemu-server dan sudah diperbaiki juga pada versi qemu 9.2.11 (seperti tulisan sebelumnya). Kerentanan ini juga tidak berkaitan dengan kernel sehingga update-nya tidak memerlukan reboot.
Password Hash Cloud-Init Bocor lewat Snapshot Config (PSA-2026-00069-1)
Cloud-init memiliki parameter cipassword, yaitu password yang digunakan pada default user VM dan disimpan dalam bentuk hash. Namun pada endpoint config normal, sudah di-masking Namun ternyata endpoint /snapshot/[snap]/config (yang digunakan utnuk melihat konfigurasi snapshot) tidak melakukan masking yang sama.
Jadinya, user yang memiliki akses ke konfigurasi snapshot dapat melihat hash dari cloud-init password yang seharusnya tidak boleh dilihat. Walaupun hash ini bukanlah plaintext password tapi masih berpotensi bahaya karena bisa “diulik” ke serangan offline cracking apalagi kalau password-nya lemah.
cicustom Bisa Baca Snippet dari Storage Mana Pun (PSA-2026-00070-1)
cicustom adalah properti di Proxmox VE yang memungkinkan kita untuk menunjuk file cloud-init custom dari storage yang mendukung snippets. Celahnya adalah user dengan hak akses VM.Config.Cloudinit dapat mereferensikan volume dari storage manapun lewat cicustom tanpa pengecekan tambahan untuk mengecek apakah user tersebut punya izin ke storage tersebut. Kalau user tersebut punya akses menjalankan VM dan akses ke VM, user tersebut dapat membaca isi snippet volume dari storage manapun.
Ini adalah kerentanan batas akses storage. User yang seharusnya cuma boleh menyentuh storage tertentu bisa “mengintip” snippet di storage lain.
VM.Config.Network Bisa Ubah Setting Autentikasi Cloud-Init (PSA-2026-00071-1)
Di Proxmox VE, perubahan konfigurasi cloud-init yang berkaitan dengan autentikasi seharusnya memerlukan hak akses VM.Config.Cloudinit. Namun user dengan hak akses VM.Config.Network yang seharusnya hanya dapat melakukan konfigurasi jaringan, malah dapat mengubah konfigurasi cloud-init tanpa hak akses yang valid. Misalnya field seperti ciuser dan cipassword(yang menentukan user dan password di VM). Dengan hak akses network, user bisa mengubah setting itu tanpa punya hak akses cloud-init.
Kerentanan ini adalah horizontal privilege escalation – user dengan izin terbatas bisa melakukan perubahan yang seharusnya butuh izin lebih tinggi. Kalau perubahan itu menyangkut kredensial akses VM, efeknya bisa sampai account takeover atau persistence di dalam guest.
Mitigasi
Sekilas, ketiganya mungkin terlihat “cuma” soal konfigurasi cloud-init. Tapi cloud-init adalah lapisan yang sangat sensitif: dia yang menentukan user, password, SSH key, dan network saat VM pertama kali **. Kalau lapisan ini bisa dimanipulasi atau dibaca oleh pihak yang salah, seluruh asumsi keamanan di dalam VM ikut goyah.
Semua celah ini sudah diperbaiki pada update qemu-server versi >= 9.2.11. Gunakan perintah berikut untuk update:
apt update
apt dist-upgrade
Karena ini bukan kernel dan bukan perubahan pada pvedaemon/pveproxy, tidak perlu reboot. Perubahan perilaku pada qemu-server umumnya langsung berlaku untuk operasi API berikutnya.
Tulisan kali ini sampai di sini dulu ya. Sampai jumpa. Bye.