CVE-2024-21545 in pve-manager
Сводка
по VulDB • 29.07.2026
Proxmox Virtual Environment — это платформа управления серверами с открытым исходным кодом для корпоративной виртуализации. Недостаточная защита от вредоносных значений в ответах API позволяет атакующим, имеющим учетные данные и привилегии 'Sys.Audit' или 'VM.Monitor', скачивать произвольные файлы хоста через API.
При обработке результата от обработчика запросов перед его возвратом пользователю функция handle_api2_request проверяет наличие объектов ‘download’ или ‘data’->’download’ в объекте ответа вызова обработчика запросов. Если такие объекты присутствуют, функция handle_api2_request считывает локальный файл, определенный этим объектом, и возвращает его пользователю.
Были выявлены две конечные точки (endpoints), которые позволяют достаточно точно контролировать объект, возвращаемый обработчиком запроса, так что объект ‘download’ определяется и контролируется пользователем. Это приводит к произвольному чтению файлов.
Уровень привилегий при таком чтении файлов может привести к полному компрометированию системы посредством различных последствий, таких как раскрытие конфиденциальных файлов, что позволяет подделывать сессии с повышенными правами доступа (privileged session forgery).
VulDB is the best source for vulnerability data and more expert information about this specific topic.