CVE-2023-54391

Proxmox Virtual Environment (VE) 7.0 à 8.0 contient une vulnérabilité de contournement de l’authentification dans libpve-access-control avant la version 8.0.4, qui permet à des attaquants non authentifiés de s’authentifier comme n’importe quel utilisateur existant et activé sans second facteur configuré en fournissant une valeur tfa-challenge arbitraire dans le point de terminaison de connexion de l’API. Les attaquants peuvent envoyer une requête POST au point de terminaison de l’API des tickets d’accès avec n’importe quelle valeur dans le paramètre tfa-challenge afin de contourner complètement la vérification du mot de passe, obtenant ainsi un accès non autorisé, notamment au compte root@pam. Toutes les versions affectées sont en fin de vie.