Command injection via import of malicious OVA file
Betroffene Pakete
libpve-storage-perl, qemu-server
Details
Insufficient restrictions of OVA member file names allowed an attacker with sufficient privileges to upload and import OVA files to inject arbitrary arguments into a tar invocation executed as root.
This issue was found and reported privately by Project Loupe.
Behoben in
- libpve-storage-perl >= 9.1.11
Diese Seite ist eine inoffizielle Kopie des offiziellen Beitrags im Proxmox-Forum (öffnet in neuem Tab). Prüfe vor jeder Maßnahme das Original. Der Text des Advisories wird so auf Englisch angezeigt, wie Proxmox ihn veröffentlicht hat.