Hai semuanya, apa kabar? Pada tanggal 2 November, tim Proxmox merilis update keamanan lagi. Ada dua celah yang perlu diperhatikan. Tapi (sedikit kabar tenang) kali ini update-nya tidak berkaitan dengan update kernel sehingga (kemungkinan bisa di-update tanpa perlu reboot server ). Namun bukan berarti celah ini bisa diabaikan begitu saja.
User Impersonation via Ticket Encoding (PSA-2026-00081-1)
Sistem Proxmox memiliki mekanisme ticket authentication seperti token yang digunakan setelah login. Namun terdapat ketidak-konsistenan dalam mekanisme encode & decode pada ticket tersebut dan menyebabkan adanya celah user impersonation.
Celah ini dapat dimanfaatkan oleh attacker, namun attacker perlu hak akses untuk membuat user pada realm tertentu, atau memiliki akses ke (semacam) active directory atau LDAP yang tidak membatasi karakter tertentu pada username. Jadi, celah ini bukanlah celah yang dapat dieksploitasi oleh random attacker via internet. Celah ini sudah diperbaiki pada paket libpve-common-perl >= 9.2.5.
TOCTOU di Mount Container: Dari Container ke Root Host (PSA-2026-00082-1)
TOCTOU artinya adalah Time of Check to Time of Use. Konsepnya adalah jeda waktu antara sistem memeriksa sesuatu dan menggunakannya. Apabila ada perubahan kondisi dalam jeda tersebut, artinya sistem bisa saja bertindak berdasarkan hasil pemeriksaan yang kondisi sebenarnya sudah tidak valid/tidak relevan.
Di Proxmox, hal ini berkaitan dengan perintah pct mount atau pct fstrim. Proxmox memeriksa struktur dari mountpoint pada CT, baru melakukan mount. Masalahnya adalah pengecekan tersebut tidak terlindungi dari perubahan (apabila ada dan berjalan bersamaan).
Apabila CT sedang berjalan, attacker yang memiliki akses ke CT tersebut dapat melakukan perubahan struktur mountpoint pada sesi jeda antara pengecekan dan eksekusi. Akibatnya, sistem Proxmox dapat melakukan mount pada direktori yang “diarahkan” oleh attacker dan bukan direktori yang seharusnya. Misalnya attacker bisa menentukan apa yang di-mount di path host, langkah berikutnya yang dapat terjadi adalah menjalankan kode sebagai root di host. Artinya, dari posisi awal yang “hanya punya akses ke dalam CT”, attacker bisa keluar dan menguasai host.
Celah ini sudah diperbaiki pada paket pve-container versi >=6.1.15.
Mitigasi
Seperti biasa, yang dapat dilakukan untuk memperbaiki celah keamanan adalah update & upgrade.
apt update
apt dist-upgrade
Pastikan versi paket sudah memenuhi syarat. Kalau libpve-common-perl sudah 9.2.5 atau lebih dan pve-container sudah 6.1.15 atau lebih, berarti aman. Disarankan juga restart service Proxmox yang relevan.
apt update
apt dist-upgrade
dpkg-query -W -f '${Version}\n' libpve-common-perl pve-container
Penutup
Dua celah keamanan tersebut menyentuh lapisan yang berbeda: satu di autentikasi/ticket, satu di manajemen CT. Ini pengingat bahwa permukaan serangan Proxmox itu luas, bukan cuma di hypervisor atau kernel, tapi juga di komponen pendukung seperti manajemen user dan mountpoint. Celah TOCTOU di CT adalah contoh privilege escalation: dari akses terbatas di dalam container, attacker bisa keluar dan menguasai host.
Tulisan kali ini sampai di sini dulu ya. Sampai jumpa. Bye.
Referensi: https://forum.proxmox.com/threads/proxmox-virtual-environment-security-advisories.149331/page-5