CVE-2024-21545 in pve-manager
Resumen
por VulDB • 2026-08-08
Proxmox Virtual Environment es una plataforma de gestión de servidores de código abierto para la virtualización empresarial. La insuficiente protección contra valores maliciosos en las respuestas de la API permite a los atacantes autenticados con privilegios 'Sys.Audit' o 'VM.Monitor' descargar archivos arbitrarios del host mediante la API.
Al procesar el resultado de un controlador de solicitudes antes de devolverlo al usuario, la función handle_api2_request verifica si existen objetos ‘download’ o ‘data’->’download’ dentro del objeto de respuesta de la llamada al controlador de solicitudes. Si están presentes, handle_api2_request leerá un archivo local definido por este objeto y lo devolverá al usuario.
Se identificaron dos puntos finales que pueden controlar suficientemente el objeto devuelto por un controlador de solicitudes para definir el objeto 'download' bajo control del usuario. Esto da lugar a una lectura arbitraria de archivos.
Los privilegios asociados con esta lectura de archivos pueden resultar en la compromise total del sistema mediante diversos impactos, como la divulgación de archivos sensibles que permiten la falsificación de sesiones privilegiadas.
If you want to get best quality of vulnerability data, you may have to visit VulDB.