Log poisoning via crafted HTTP Forwarded header
Betroffene Pakete
proxmox-backup-server
Details
Clients could inject arbitrary IP addresses into Proxmox Backup Server authentication logs by adding Forwarded HTTP headers to their requests.
Systems behinded a reverse-proxy that require the client's IP address to be included in logs can revert to the previous behaviour by setting the PROXY_REAL_IP_HEADER and PROXY_REAL_IP_ALLOW_FROM environment variables for the proxmox-backup-proxy systemd unit according to their proxy configuration.
Behoben in
- proxmox-backup-server 4.1.4-1 (PBS 4.x)
- proxmox-backup-server 3.4.8-3 (PBS 3.x)
Diese Seite ist eine inoffizielle Kopie des offiziellen Beitrags im Proxmox-Forum (öffnet in neuem Tab). Prüfe vor jeder Maßnahme das Original. Der Text des Advisories wird so auf Englisch angezeigt, wie Proxmox ihn veröffentlicht hat.