CVE-2023-54391: Proxmox-Login ohne Passwort möglich — so prüfen Sie Ihre Version jetzt

Für den Zugriff auf einen verwundbaren Proxmox-Host braucht ein Angreifer kein gültiges Passwort — nur ein vorhandenes, aktiviertes Benutzerkonto ohne eingerichteten zweiten Faktor. Kein Login, kein Insiderwissen, kein Fuß in der Tür nötig: Ein nicht authentifizierter Angreifer kann sich über einen präparierten Parameter direkt eine gültige Sitzung verschaffen. Das klingt nach einem Randproblem alter Installationen, ist es aber gerade nicht, wenn Administratoren derzeit von genau solchen kompromittierten Systemen berichten.

Was ist passiert?

Eine Schwachstelle im Proxmox-Paket libpve-access-control erlaubt es, die Authentifizierung an der Verwaltungsoberfläche zu umgehen. Betroffen sind laut Advisory die Versionen ab 7.0-7 bis vor 8.0.4, was im Wesentlichen Proxmox VE 7.0 bis 7.4 sowie die ursprüngliche Version 8.0 entspricht. Der Fehler steckt in der Behandlung der Zwei-Faktor-Authentifizierung am API-Endpunkt /api2/json/access/ticket: Über den Parameter tfa-challenge lässt sich ein entscheidender Schritt der Anmeldung überspringen. Ein Angreifer erhält so eine Sitzung für ein vorhandenes Konto, sofern für dieses Konto kein zweiter Faktor eingerichtet ist — ein Passwort ist dafür nicht erforderlich. Trifft das ein hochprivilegiertes Konto, ist die vollständige Übernahme des Virtualisierungshosts möglich. Voraussetzung ist, dass der Angreifer die Verwaltungsoberfläche beziehungsweise deren API erreichen kann; standardmäßig lauscht diese auf Port 8006, direkt aus dem Internet erreichbare Managementoberflächen tragen also das größte Risiko.

Was ist belegt?

Die unter CVE-2023-54391 geführte Lücke wird von VulnCheck nach CVSS 3.1 mit 9,8 von 10 Punkten bewertet, nach CVSS 4.0 mit 9,3 Punkten — beides Werte im kritischen Bereich. Als Ursache ist CWE-304 angegeben, ein fehlender kritischer Schritt im Authentifizierungsablauf. Bemerkenswert an diesem Fall: Der verwundbare Code wurde bereits im Juli 2023 im Zuge einer Überarbeitung der Zwei-Faktor-Authentifizierung verändert, wodurch der Bypass verschwand. Nach Angaben von Proxmox war das damals weder als Sicherheits-Fix gedacht noch war das Problem zuvor gemeldet worden — die Änderung wurde entsprechend nicht auf den damals noch gepflegten Proxmox-VE-7-Zweig zurückportiert. Neuere Installationen waren also faktisch geschützt, ohne dass es dafür je ein Advisory gab. Aktuell unterstützte Proxmox-VE-Versionen sind nach Herstellerangaben nicht betroffen.

Was ist derzeit unklar?

Ausgangspunkt der aktuellen Aufmerksamkeit sind Berichte im Proxmox-Supportforum: Seit dem 31. August melden Administratoren kompromittierte Proxmox-VE-7-Systeme, teils mit verschlüsselten Speichersystemen und Lösegeldforderungen. Ob CVE-2023-54391 bei diesen Vorfällen tatsächlich der Einstiegspunkt war, ist nach aktuellem Kenntnisstand nicht zweifelsfrei belegt. Einige betroffene Nutzer nannten dabei Versionen, die laut Hersteller gar nicht verwundbar sind — die Ransomware-Fälle und diese konkrete Lücke sind also bislang nicht unabhängig bestätigt miteinander verknüpft, auch wenn der zeitliche Zusammenhang naheliegt.

Was bedeutet das für Ihren Betrieb?

Entscheidend ist nicht die angezeigte Proxmox-VE-Version, sondern der Stand des Pakets libpve-access-control. Prüfen Sie ihn mit `dpkg-query -W -f '${Version}n' libpve-access-control`; einen vollständigen Überblick liefert `pveversion -v`. Liegt die Version zwischen 7.0-7 und unterhalb 8.0.4, gilt das System als verwundbar. Proxmox VE 7 befindet sich bereits seit Juli 2024 außerhalb des regulären Lebenszyklus — hier hilft kein Patch mehr, sondern nur die Migration auf eine unterstützte Version. Prüfen Sie zusätzlich, ob Ihre Managementoberfläche über Port 8006 öffentlich aus dem Internet erreichbar ist, und schränken Sie den Zugriff per Firewall oder VPN ein. Solange eine Migration aussteht, reduziert ein konsequent aktivierter zweiter Faktor für alle privilegierten Konten das Risiko, schließt es aber nicht vollständig aus.

Aus unserer Sicht zeigt dieser Fall etwas, das über die konkrete Lücke hinausgeht: Nicht jede sicherheitsrelevante Codeänderung wird bei ihrer Veröffentlichung als solche erkannt. Wer sich ausschließlich auf Security Advisories verlässt, bekommt nicht automatisch jede relevante Korrektur mit. Regelmäßige Versionsaktualisierungen bleiben deshalb auch dann sinnvoll, wenn für eine ältere Installation aktuell keine offene CVE bekannt ist.

Quellen: it-administrator — „Kritische Proxmox-Lücke ermöglicht Login ohne Passwort“ (https://www.it-administrator.de/kritische-proxmox-luecke-login-ohne-passwort)