Proxmox VE/Mail Gateway API – Post-Authentifizierung privilegierte Dateilesen-Schwachstellen

Am 23. September 2024 hat Proxmox eine Sicherheitswarnung zu Schwachstellen in der Proxmox VE und Proxmox Mail Gateway API veröffentlicht. Authentifizierte Angreifer mit den Rechten ‘Sys.Audit’ oder ‘VM.Monitor’ konnten über die API beliebige Host-Dateien herunterladen. Die Schwachstellen wurden von Snyks Security Labs identifiziert und betrafen mehrere Proxmox-Komponenten, darunter pve-manager, libpve-storage-perl, libpve-http-server-perl und pmg-api.

Die Schwachstellen wurden erstmals in Version 3.2-1 von libpve-http-server-perl (Proxmox VE/Proxmox Mail Gateway 6) eingeführt.

Fixes: Die behobenen Versionen sind ab dem 23. September 2024 verfügbar:

  • Proxmox VE 8: pve-manager >= 8.2.7, libpve-http-server-perl >= 5.1.1
  • Proxmox Mail Gateway 8: pmg-api >= 8.1.4, libpve-http-server-perl >= 5.1.1
  • Proxmox VE 7: pve-manager >= 7.4-19, libpve-http-server-perl >= 4.3.0
  • Proxmox Mail Gateway 7: pmg-api >= 7.3-12, libpve-http-server-perl >= 4.3.0

Proxmox-Nutzer sollten die aktualisierten Pakete umgehend installieren, um die Schwachstellen zu beheben. Weitere Informationen und Patches sind in den Proxmox-Repositories verfügbar.

Tags :

Related Posts

Kritische Sicherheitslücke in FreeBSD bhyve Hypervisor

Das FreeBSD-Projekt hat am 19. September 2024 eine Sicherheitslücke in bhyve, einem Hypervisor zur Ausführung virtueller Maschinen, bekannt gegeben. Die Schwachstelle CVE-2024-41721 betrifft alle unterstützten Versionen von FreeBSD und wurde durch unzureichende Grenzprüfungen im USB-Controller (XHCI) des Hypervisors verursacht. Angreifer können durch diese Schwachstelle aus einem Gastsystem heraus Out-of-Bounds-Lesezugriffe ausführen, die zu einem Heap-Überlauf, potenziell zu beliebigen Schreibzugriffen und Remote-Code-Ausführung führen können.

Read More

2FA-Umgehung über RestAPI in Checkmk behoben (CVE-2024-8606)

Am 9. September 2024 wurde in Checkmk ein Sicherheitsproblem behoben, das es ermöglichte, die Zwei-Faktor-Authentifizierung (2FA) über die RestAPI zu umgehen. Die betroffenen Versionen 2.3.0 und 2.2.0 überprüften nicht korrekt, ob ein Benutzer, der sich mit mehreren Faktoren authentifizieren sollte, tatsächlich vollständig authentifiziert war. Dieser Fehler wurde während einer internen Überprüfung entdeckt.

Read More

Sicherheitslücke in Versa Director (CVE-2024-45229) ermöglicht unautorisierte API-Zugriffe

Versa Networks hat am 20. September 2024 eine Sicherheitswarnung für eine Schwachstelle (CVE-2024-45229) im Netzwerk WAN Management Tool Versa Director veröffentlicht. Ein Cyberangreifer kann diese Schwachstelle ausnutzen, um unautorisierte REST-APIs aufzurufen. Die betroffene Komponente bietet APIs für Orchestrierung und Management, wobei einige dieser APIs standardmäßig keine Authentifizierung erfordern.

Read More