Hai semuanya, apa kabar? Hari ini Proxmox merilis beberapa update keamanan (sebenarnya ada beberapa) dan kita akan coba bahas dua update-nya. Kali ini celah keamanannya berkaitan dengan storage & HTTP server dan tidak berkaitan dengan kernel, sehingga kemungkinan besar tidak memerlukan server reboot. Namun tetap saja update keamanan ini disarankan untuk dicek dan diterapkan mitigasinya.
Shell Command Injection via Volume Name (PSA-2026-00088-1)
Sistem Proxmox VE memiliki API untuk mengalokasikan volume pada storage. Celahnya adalah nama volume yang diminta tidak divalidasi dan di-escape dengan benar saat diproses pada shell. Ada dua contoh skenario dari celah ini.
- Pada storage berjenis ZFS-over-iSCSI, PVE berkomunikasi dengan iSCSI target host menggunakan SSH untuk proses pembuatan zvol-nya. Nama volume yang dikirim/ditetapkan oleh user tidak disaring. Artinya, attacker yang memiliki hak akses Datastore.AllocateSpace pada storage tersebut dapat memasukkan perintah tambahan yang dapat dijalankan as root pada iSCSI target host.
- Pada storage berbasis direktori, nama volume yang tidak divalidasi dapat menyuntikkan perintah di target host (host tujuan untuk migrasi VM). Sehingga attacker yang memiliki hak akses Datastore.AllocateSpace & VM.Migrate dapat menjalankan perintah as root pada host tempat tujuan migrasi. Ini adalah contoh skenario privilege escalation.
HTTP Server Proxmox Diperketat: dari Log Injection sampai Duplicate Header (PSA-2026-00089-1)
Celah ini berkaitan dengan libpve-http-server-perl (komponen HTTP server pada PVE dan PMG). Berikut ini ada beberapa poin yang diperbaiki pada update kali ini:
- Access log sekarang lebih aman dari interleaved writes dan dari injeksi nilai-nilai khusus yang tidak di-escape ke dalam baris log. Artinya, attacker tidak bisa lagi “menitipkan” karakter khusus ke log yang bisa membingungkan pembacaan atau merusak format log.
- Penanganan request diperketat: sekarang menolak duplicate
Content-Length,Host, atauCookieheader. Header ganda seperti ini sering dipakai dalam serangan HTTP request smuggling(teknik menyelundupkan request tambahan ke dalam satu koneksi). - Tidak lagi memetakan underscore (_) ke hyphen (-) pada nama header HTTP. Ini penting karena beberapa server/proxy memperlakukan keduanya secara berbeda, dan pemetaan otomatis bisa membuka celah header confusion.
- Menolak request dengan query string yang sangat panjang, untuk mencegah penyalahgunaan resource.
Mitigasi
Seperti biasa, mitigasinya adalah melakukan update & upgrade. Karena update kali ini “hanya” berkaitan dengan paket userspace ,bukan kernel, tidak perlu reboot. Langkahnya:
apt update
apt dist-upgrade
Pastikan versi paket sudah memenuhi syarat:
dpkg-query -W -f '${Version}\n' libpve-guest-common-perl libpve-storage-perl qemu-server libpve-http-server-perl
Kalau semua sudah mencapai versi minimum di atas, berarti aman. Setelah update, restart service Proxmox yang relevan:
systemctl restart pvedaemon pveproxy pvestatd
Referensi : https://forum.proxmox.com/threads/proxmox-virtual-environment-security-advisories.149331/page-5