Beveiligingsproblemen opgelost in Proxmox Backup Server

De ontwikkelaars van de back-upoplossing Proxmox Backup Server hebben diverse beveiligingslekken gedicht — vooralsnog zijn er geen aanwijzingen dat die actief zijn misbruikt.

Verschillende versies van Proxmox Backup Server bleken kwetsbaar — aanvallers kunnen daarbij twee afzonderlijke beveiligingslekken misbruiken. De ontwikkelaars hebben de problemen in een forumpost toegelicht, maar CVE-nummers zijn nog niet toegekend, waardoor een officiële inschatting van de ernst vooralsnog ontbreekt. Het CERT-Bund van het Duitse BSI beoordeelt het risico voorlopig als hoog.

Eén van de kwetsbaarheden treft uitsluitend de 3.x-versiereeks van Proxmox Backup Server — bij succesvolle exploitatie kunnen aanvallers back-up-snapshots wijzigen, waardoor herstel van gegevens onmogelijk wordt. De update naar versie 3.4.1-1 verhelpt het probleem.

De tweede kwetsbaarheid doet zich voor bij systemen die S3-opslag gebruiken. In dergelijke configuraties kunnen aanvallers ongeoorloofd toegang tot opgeslagen gegevens verkrijgen. De update naar Proxmox Backup Server 4.0.18-1 bevat de noodzakelijke beveiligingsaanpassingen.

Er zijn tot dusver geen meldingen dat de kwetsbaarheden actief zijn uitgebuit. Evenmin is duidelijk hoe beheerders kunnen vaststellen of hun systemen mogelijk al zijn gecompromitteerd.

Beheerders van Proxmox Backup Server wordt aangeraden hun installaties zo snel mogelijk bij te werken naar de genoemde versies. Omdat het BSI de dreiging als hoog inschat en misbruik kan leiden tot verlies van back-updata of ongeoorloofde toegang tot systemen, is het installeren van de updates dringend aan te bevelen.