CVE-2022-31358

O Proxmox Virtual Environment tem uma falha de cross-site scripting refletido alcançável por meio de endpoints inexistentes sob /api2/html/: um link malicioso para um desses caminhos falsos reflete o script do atacante de volta na resposta, executando no navegador de uma vítima que o segue. O que eleva isto acima de um XSS rotineiro é o alvo — o Proxmox VE é um console de gerenciamento de hipervisor, então script rodando na sessão de um administrador autenticado toca o plano de controle de frotas inteiras de máquinas virtuais.

O vetor mostra os freios e os amplificadores juntos: precisa de autenticação de baixo privilégio e de interação do usuário (um administrador clicando no link), mas o escopo é alterado e o impacto abrange confidencialidade, integridade e disponibilidade, refletindo que cavalgar a sessão de um administrador de virtualização é algo consequente. Realisticamente, este é um ataque direcionado e entregue por phishing contra um operador do Proxmox, e não uma exploração em massa, mas o retorno — agir dentro da sessão que gerencia o parque de virtualização — é o motivo pelo qual ele fica no topo da severidade de XSS.

Nossa ênfase é o isolamento de exposição e a proteção de sessão para o plano de gerenciamento. Interfaces web do Proxmox nunca deveriam ser amplamente acessíveis, então confirmaríamos que qualquer instância abaixo da v7.2-3 esteja atrás de VPN ou de restrições rígidas de IP, reduzindo o conjunto de administradores que poderiam ser atraídos enquanto autenticados, e conduziríamos a atualização na trilha de prioridade de gerenciamento de hipervisor. Onde pudermos, monitorar requisições aos caminhos malformados /api2/html/ oferece uma assinatura de detecção limpa enquanto a aplicação de patch prossegue.