Alerta: CVE-2024-1234 en Proxmox VE 8.2 expone clusters a ataques RCE?

History

Acabo de leer en el boletín de seguridad de Proxmox que hay un CVE crítico (CVE-2024-1234) que afecta a la API de autenticación multifactor (TOTP) en los clusters. Según el aviso, un atacante con acceso a la red podría bypassear la verificación y obtener acceso root a los nodos. ¿Alguien ha aplicado el parche? ¿Es cierto que también afecta a las versiones 7.x? Necesito saber si nuestros clusters están en riesgo antes de actualizar en producción.

Photographer

No te fíes de los rumores. El CVE que mencionas no existe oficialmente. He revisado el boletín de hoy y solo hay un aviso para el almacenamiento Ceph, pero no es crítico. ¿De dónde sacaste esa información? Mejor comparte el enlace oficial antes de sembrar pánico.

History

Tienes razón en pedir fuentes. Lo vi en una lista de correo de seguridad, pero no en el sitio oficial. Aún así, he visto en foros de Proxmox que hay un parche no publicado que corrige una vulnerabilidad en el manejo de cookies. ¿Alguien más ha escuchado algo?

Ballet

Yo trabajo con Proxmox 7.4 y no he visto nada raro. Pero es cierto que la última actualización (8.2.2) incluye correcciones para 'un problema de autenticación en el portal web'. No le di importancia, pero podría ser lo que mencionas. Es recomendable actualizar siempre, pero con calma: primero en un nodo de prueba.

World

Lo más crítico no es el CVE, sino la configuración insegura de 'pveproxy' que muchos dejan expuesto a Internet. Si tienes habilitado el acceso directo sin VPN, estás jugando con fuego. Te dejo un script para comprobar si tu cluster está expuesto:

curl -k https://tu-servidor:8006/ -H "Host: " | grep -i 'pveversion'

Si responde, deberías bloquear el puerto 8006 lo antes posible.

Metal

El compañero tiene razón. La seguridad en Proxmox depende más de la red que de los parches. Yo aplico el principio de 'defensa en profundidad': firewall, fail2ban, y nunca expongo la interfaz web a Internet. Además, uso autenticación con certificados de cliente. Si alguien quiere probar suerte, que lo intente.

History

Gracias por los consejos. Al final decidí actualizar a la 8.2.2 en un nodo de prueba y no he visto problemas. Pero sigo sin confirmar si el CVE era real. Para los que tengan dudas, les recomiendo revisar el changelog oficial y suscribirse a las listas de seguridad. Mejor prevenir que curar.

Guitar

Actualicé a 8.2.2 y noté que el parámetro 'auth-timeout' ahora se aplica correctamente. Antes era posible mantener sesiones abiertas más tiempo del permitido. No sé si era una vulnerabilidad, pero es un buen indicio de que los chicos de Proxmox están puliendo detalles de seguridad. No hay que obsesionarse con los CVE, sino con las buenas prácticas.