Incomplete validation of sync encryption/decryption key access
Betroffene Pakete
proxmox-backup-server
Details
An attacker with Datastore.Modify or Datastore.Read on a datastore + namespace can configure sync jobs with arbitrary owners. The sync job's owner was used to validate whether a configured encryption/decryption key is allowed to be used by a sync job. This allowed leveraging high-level access on a datastore to use arbitrary configured encryption keys, instead of limiting access based on the configuring user/token.
This issue was found internally, and independently by Project Loupe.
Behoben in
- proxmox-backup-server >= 4.2.8-1
Diese Seite ist eine inoffizielle Kopie des offiziellen Beitrags im Proxmox-Forum (öffnet in neuem Tab). Prüfe vor jeder Maßnahme das Original. Der Text des Advisories wird so auf Englisch angezeigt, wie Proxmox ihn veröffentlicht hat.