Kritische Proxmox-Sicherheitslücke (CVE-2023-54391) Login ohne Passwort

Dieser Artikel wurde bereits 255x gelesen...

In älteren Versionen der beliebten Open-Source-Virtualisierungslösung Proxmox VE existiert eine kritische Lücke im Authentifizierungsmodul. Angreifer können sich unter Umständen ohne Passwort administrative Rechte verschaffen.

In den letzten Tagen häufen sich Berichte über kompromittierte und teilweise durch Ransomware verschlüsselte Proxmox-Server. Ursache dafür ist die unter CVE-2023-54391 geführte Schwachstelle im Paket libpve-access-control. Die Lücke wird mit einem extrem hohen CVSS-Score von 9,8 (kritisch)eingestuft.

Der Fehler befindet sich in der Verarbeitung der Zwei-Faktor-Authentifizierung (2FA) über die REST-API. Durch die gezielte Übergabe des Parameters tfa-challenge am Login-Endpunkt kann die Passwortabfrage vollständig übersprungen werden. Voraussetzung für das Ausnutzen der Lücke:

• Das betroffene Benutzerkonto (z. B. root) besitzt keinen aktivierten zweiten Faktor (2FA).
• Die Managementschnittstelle (Standard-Port 8006) ist für den Angreifer über das Netzwerk oder das Internet erreichbar.

Der fehlerhafte Code wurde bereits im Juli 2023 bei einer allgemeinen Überarbeitung der 2FA-Logik unbeabsichtigt korrigiert. Aktuelle Systemversionen sind daher seit Längerem geschützt, während ältere Installationen – insbesondere die seit Juli 2024 nicht mehr unterstützte Version Proxmox VE 7.x – bis heute unbemerkt verwundbar blieben.

Gefährdet sind Systeme, bei denen die Paketversion von libpve-access-control im Bereich ≥ 7.0-7 und < 8.0.4.