CVE-2024-21545

Résumé

Proxmox Virtual Environment est une plateforme open-source de gestion de serveurs pour la virtualisation d'entreprise. Des protections insuffisantes contre les valeurs de réponse API malveillantes permettent à des attaquants authentifiés disposant des privilèges 'Sys.Audit' ou 'VM.Monitor' de télécharger des fichiers hôtes arbitraires via l'API. Lors du traitement du résultat d'un gestionnaire de requêtes avant de le retourner à l'utilisateur, la fonction handle_api2_request vérifie la présence des objets ‘download’ ou ‘data’->’download’ dans l'objet de réponse de l'appel du gestionnaire de requêtes. Si ces objets sont présents, handle_api2_request lit un fichier local défini par cet objet et le retourne à l'utilisateur. Deux points de terminaison ont été identifiés, qui peuvent contrôler l'objet retourné par un gestionnaire de requêtes au point que l'objet ’download’ soit défini et contrôlé par l'utilisateur. Cela conduit à une lecture de fichiers arbitraire. Les privilèges de cette lecture de fichiers peuvent entraîner un compromis total du système par divers impacts, tels que la divulgation de fichiers sensibles permettant la falsification de sessions privilégiées.

• CVE-2024-21545-PoCPoC

  Proxmox VE Lecture Arbitraire de Fichier -> Compromission Totale du Système . Pas encore testé... je les testerai cette semaine