CVE-2024-21545 in pve-manager
要約
〜によって VulDB • 2026年07月29日
Proxmox Virtual Environmentは、エンタープライズ仮想化のためのオープンソースのサーバー管理プラットフォームです。悪意のあるAPIレスポンス値に対する保護不備により、'Sys.Audit'または'MVM.Monitor'権限を持つ認証済み攻撃者が、APIを通じて任意のホストファイルをダウンロードできます。 リクエストハンドラからの結果をユーザーに返す前に処理する際、handle_api2_request関数は、リクエストハンドラの呼び出しレスポンスオブジェクト内の'download'または'data'->'download'オブジェクトをチェックします。存在する場合、handle_api2_requestはこのオブジェクトによって定義されたローカルファイルを読み取り、それをユーザーに戻します。 要求ハンドラが返すオブジェクトを十分に制御し、'download'オブジェクトが定義されかつユーザがコントロールできることが確認された2つのエンドポイントが特定されました。これにより任意のファイル読み込みが可能になります。 このファイル読み込みの特権は、機密性の高いファイルを開示して特権付きセッションの偽造などを可能にするなど、さまざまな影響を通じてシステムの完全な侵害につながる可能性があります。
If you want to get best quality of vulnerability data, you may have to visit VulDB.