CVE-2022-31358

Proxmox Virtual Environment tiene un fallo de cross-site scripting reflejado accesible a través de endpoints inexistentes bajo /api2/html/: un enlace manipulado hacia una de esas rutas falsas refleja el script del atacante de vuelta en la respuesta, ejecutándose en el navegador de una víctima que lo siga. Lo que eleva esto por encima de un XSS rutinario es el objetivo: Proxmox VE es una consola de administración de hipervisor, así que el script que se ejecuta en la sesión de un administrador autenticado toca el plano de control de flotas enteras de máquinas virtuales.

El vector muestra los frenos y los amplificadores juntos: necesita autenticación con privilegios bajos e interacción del usuario (un administrador haciendo clic en el enlace), pero el scope está cambiado y el impacto abarca confidencialidad, integridad y disponibilidad, reflejando que secuestrar la sesión de un administrador de virtualización es de consecuencia. De forma realista, este es un ataque dirigido, entregado por phishing, contra un operador de Proxmox en lugar de una explotación masiva, pero la recompensa —actuar dentro de la sesión que administra el parque de virtualización— es por qué aterriza en el extremo alto de la severidad de XSS.

Nuestro énfasis es el aislamiento de la exposición y la protección de sesión para el plano de administración. Las interfaces web de Proxmox nunca deberían ser ampliamente accesibles, así que confirmaríamos que cualquier instancia por debajo de v7.2-3 esté detrás de VPN o restricciones estrictas de IP, reduciendo el conjunto de administradores que podrían ser atraídos mientras están autenticados, e impulsaríamos la actualización en la vía prioritaria de administración de hipervisores. Donde podamos, vigilar las solicitudes hacia las rutas malformadas /api2/html/ da una firma de detección limpia mientras avanza la aplicación de parches.