CVE-2023-54391

Proxmox Virtual Environment (VE) dalla versione 7.0 alla 8.0 contiene una vulnerabilità di bypass dell'autenticazione in libpve-access-control prima della versione 8.0.4 che consente ad attaccanti non autenticati di autenticarsi come qualsiasi utente esistente abilitato senza un secondo fattore configurato fornendo un valore tfa-challenge arbitrario nell'endpoint di accesso API. Gli attaccanti possono inviare una richiesta POST all'endpoint API dei ticket di accesso con qualsiasi valore nel parametro tfa-challenge per saltare completamente la verifica della password, ottenendo accesso non autorizzato anche all'account root@pam. Tutte le release interessate sono fuori supporto.