CVE-2024-21545

ملخص

Proxmox Virtual Environment هي منصة مفتوحة المصدر لإدارة الخوادم للافتراضية المؤسسية. تسمح الضمانات غير الكافية ضد قيم استجابات API الخبيثة للمهاجمين الموثقين بصلاحيات 'Sys.Audit' أو 'VM.Monitor' بتنزيل ملفات المضيف التعسفية عبر API. عند معالجة النتيجة من معالج الطلبات قبل إعادتها إلى المستخدم، ستتحقق دالة handle_api2_request من كائنات ‘download’ أو ‘data’->’download’ داخل كائن الاستجابة لاستدعاء معالج الطلبات. إذا كانت موجودة، ستقرأ handle_api2_request ملفًا محليًا معرفًا بواسطة هذا الكائن وتعيده إلى المستخدم. تم تحديد نقطتي نهاية يمكنهما التحكم في الكائن الذي يعيده معالج الطلبات بما يكفي بحيث يكون كائن ’download’ معرّفًا ومتحكمًا فيه من قبل المستخدم. يؤدي هذا إلى قراءة ملف تعسفية. يمكن أن تؤدي صلاحيات قراءة الملف هذه إلى اختراق كامل للنظام عبر تأثيرات مختلفة مثل كشف الملفات الحساسة مما يسمح بتزوير جلسات مميزة.

المصادر

• CVE-2024-21545-PoCPoC

  قراءة ملف تعسفي في Proxmox VE -> اختراق كامل للنظام. لم يتم اختباره بعد... سأختبره هذا الأسبوع