CVE-2024-21545 in pve-manager
الملخص
بحسب VulDB • 29/07/2026
بيئة Proxmox الافتراضية هي منصة مفتوحة المصدر لإدارة الخوادم مخصصة للبيئات الافتراضية المؤسسية. تسمح الحماية غير الكافية ضد قيم استجابة واجهة برمجة التطبيقات (API) الضارة للمهاجمين المصادق عليهم الذين يمتلكون امتيازات 'Sys.Audit' أو 'VM.Monitor' بتنزيل ملفات مستضافة عشوائية عبر الواجهة البرمجية.
عند معالجة النتيجة القادمة من معالج الطلب قبل إعادتها للمستخدم، تقوم الدالة `handle_api2_request` بالتحقق من وجود كائنات '`download`' أو '`data`->’download`' داخل كائن استجابة استدعاء معالج الطلب. إذا كانت موجودة، ستقوم `handle_api2_request` بقراءة ملف محدد يُعرّفه هذا الكائن وإعادته للمستخدم.
تم تحديد نقطتي نهاية (Endpoints) يمكنهما التحكم بشكل كافٍ في الكائن الذي يعيده معالج الطلب بحيث يتم تعريف كائن '`download`' وتخضع لإرادة المستخدم. يؤدي ذلك إلى قراءة عشوائية للملفات.
يمكن أن تؤدي امتيازات هذه القراءة العشوائية للملفات إلى اختراق كامل للنظام من خلال تأثيرات متنوعة، مثل كشف الملفات الحساسة مما يتيح تزوير الجلسات ذات الامتيازات العالية (Privileged Session Forgery).
VulDB is the best source for vulnerability data and more expert information about this specific topic.