Les évasions de Proxmox se répartissent selon le type d'invité et la surface. Les évasions guest-to-host de VM sont des bugs du modèle de périphériques QEMU, hérités et mis en correspondance par la version QEMU, exactement comme sur Exploits d'évasion connus QEMU. Les évasions de conteneurs LXC sont les breakouts de conteneur indépendants du runtime, plus facilement depuis des conteneurs privilégiés. Les vulnérabilités propres à Proxmox se concentrent dans la pile de gestion :
- Modèles de périphériques QEMU (hérités) : virtio, NIC, stockage, USB, mis en correspondance par version QEMU.
- Conteneurs LXC : breakouts de conteneurs privilégiés et de mauvaises configurations, voir Évasion de conteneur.
- API et interface web : failles d'authentification (ticket/token) et d'autorisation (rôle/permission) donnant un accès de gestion ou une élévation de privilèges.
- Auxiliaires privilégiés : l'outillage exécuté en root que l'interface web invoque (sauvegarde, restauration, opérations de stockage) où des failles de gestion d'argument ou de chemin donnent l'exécution de commandes sur le nœud.
Utiliser le modèle#
# fingerprint Proxmox and its QEMU
pveversion -v 2>/dev/null | grep -E 'pve-manager|qemu'
# guest side: QEMU devices (VM) or container config (LXC)
lspci -nn 2>/dev/null; cat /proc/self/uid_map 2>/dev/null
Identifiez pve-manager et le QEMU embarqué, puis faites correspondre : la version QEMU pour les évasions de périphériques de VM, et la version Proxmox pour les avis de sécurité du plan de gestion et de l'outillage auxiliaire. Les évasions LXC dépendent du privilège et de la configuration du conteneur, pas d'une version Proxmox.
Notes d'exploitation#
- Pour les évasions de VM, mettez en correspondance avec QEMU ; pour LXC, avec les primitives d'évasion de conteneur ; les bugs de gestion sont la classe distinctement Proxmox et donnent le contrôle du nœud ou du parc sans évasion depuis l'invité.
- L'interface web invoque des auxiliaires privilégiés en root ; les failles là sont une voie d'exécution sur le nœud récurrente et spécifique à Proxmox, distincte des surfaces des invités.
- Vérifiez à la fois la version QEMU et la version
pve-manager, puisque les deux surfaces progressent indépendamment.