CVE-2023-54391

Proxmox Virtual Environment (VE) 7.0 hasta 8.0 contiene una vulnerabilidad de bypass de autenticación en libpve-access-control anterior a 8.0.4 que permite a atacantes no autenticados autenticarse como cualquier usuario existente habilitado sin un segundo factor configurado proporcionando un valor tfa-challenge arbitrario en el endpoint de inicio de sesión de la API. Los atacantes pueden enviar una solicitud POST al endpoint de la API de tickets de acceso con cualquier valor en el parámetro tfa-challenge para omitir por completo la verificación de la contraseña, obteniendo acceso no autorizado, incluida la cuenta root@pam. Todas las versiones afectadas han llegado al fin de su vida útil.