Procedimentos - Projeto Empresa Livre

Ferramentas do usuário

Ferramentas do site

Visitou: • converter_disco_ide_sata_para_scsi
proxmox:cve-2026-51081

Diferenças

Aqui você vê as diferenças entre duas revisões dessa página.

Link para esta página de comparações

Ambos lados da revisão anteriorRevisão anterior
Próxima revisão		Revisão anterior
proxmox:cve-2026-51081 [2026/09/02 09:19] – adminproxmox:cve-2026-51081 [2026/09/02 09:23] (atual) – admin
Linha 3: Linha 3:
 ===== 📋 Visão Geral ===== ===== 📋 Visão Geral =====
  
-A **CVE-2026-51081** é uma vulnerabilidade de **Cross-Site Scripting (XSS)** na interface web do **Proxmox Virtual Environment (PVE)**.+A **CVE-2026-51081** é uma vulnerabilidade de **Cross-Site Scripting (XSS)** identificada na interface web do **Proxmox Virtual Environment (PVE)**.
  
-Um atacante pode preparar um conteúdo malicioso que, ao ser acessado por um usuário, pode executar **JavaScript ou HTML no navegador da vítima**.+A vulnerabilidade permite que um atacante utilize um conteúdo especialmente preparado para tentar executar **JavaScript ou HTML no navegador de um usuário** que interaja com esse conteúdo.
  
-**Importante:** a vulnerabilidade não significa, por si só, execução de código diretamente no host Proxmox.+O risco é maior quando a vítima possui uma **sessão administrativa ativa no Proxmox VE**.
  
   * **CVE:** CVE-2026-51081   * **CVE:** CVE-2026-51081
Linha 13: Linha 13:
   * **Severidade:** Medium — CVSS 6.1   * **Severidade:** Medium — CVSS 6.1
   * **Interação do usuário:** Necessária   * **Interação do usuário:** Necessária
-  * **Componente afetado:** Interface web do Proxmox VE+  * **Componente:** Interface web do Proxmox VE
  
------ +**Importante:** esta vulnerabilidade não deve ser interpretada automaticamente como uma vulnerabilidade de **RCE (Remote Code Execution)** ou como acesso direto ao shell/root do servidor.
- +
-===== ⚠️ 1. Antes de atualizar ===== +
- +
-Antes de executar qualquer atualização, primeiro identifique a versão instalada. +
- +
-Isso é importante para registrar o estado do ambiente **antes da correção**.+
  
 ----- -----
  
-===== 🔎 2. Verificar versão do Proxmox VE =====+===== 🔎 1. Verificar a versão instalada =====
  
-Executar: +Antes de atualizar, identifique a versão atualmente instalada.
- +
-<code bash> +
-pveversion -v +
-</code>+
  
-Para verificar especificamente o ''pve-manager'':+Execute:
  
 <code bash> <code bash>
Linha 45: Linha 35:
 </code> </code>
  
-Também é possível consultar pelo APT:+Também é possível consultar a versão através do APT:
  
 <code bash> <code bash>
Linha 57: Linha 47:
 Candidate: 9.1.9-1 Candidate: 9.1.9-1
 </code> </code>
 +
 +**Anote a versão instalada antes da atualização.**
 +
 +Isso permite comparar o estado do ambiente antes e depois da correção.
  
 ----- -----
  
-===== 🚨 3. Minha versão está vulnerável? =====+===== 🚨 2. Versões afetadas =====
  
 A descrição pública da **CVE-2026-51081** identifica versões específicas dos componentes do Proxmox VE como afetadas. A descrição pública da **CVE-2026-51081** identifica versões específicas dos componentes do Proxmox VE como afetadas.
  
-**ATENÇÃO:** os números apresentados no registro da CVE não devem ser confundidos automaticamente com a versão geral exibida pelo comando ''pveversion''.+^ Linha do PVE ^ Versão identificada como afetada ^ 
 +| **PVE 9.x** | **5.1.8** | 
 +| **PVE 8.x** | **4.3.16** | 
 + 
 +**ATENÇÃO** 
 + 
 +Os números **5.1.8** e **4.3.16** apresentados no registro da CVE não devem ser confundidos automaticamente com a versão geral exibida pelo comando: 
 + 
 +<code> 
 +pve-manager: 9.1.9 
 +</code>
  
 Por exemplo: Por exemplo:
Linha 72: Linha 76:
 </code> </code>
  
-não deve ser interpretado automaticamente como:+não significa automaticamente:
  
 <code> <code>
-CVE-2026-51081 → vulnerável+9.1.9 = vulnerável
 </code> </code>
  
Linha 81: Linha 85:
  
 <code> <code>
-CVE-2026-51081 → corrigido+9.1.9 = corrigido
 </code> </code>
  
-A confirmação deve ser feita comparando a versão instalada com a **versão corrigida indicada pelo Proxmox no advisory de segurança correspondente**.+A avaliação deve considerar a versão do componente/pacote e a versão disponibilizada pelo repositório Proxmox.
  
-**Regra:**+-----
  
-> Não determine o status da CVE apenas olhando o número principal do Proxmox VE.+===== 🟡 3. Como saber se devo atualizar? ===== 
 + 
 +O primeiro passo é verificar se existe uma versão mais recente disponível para o ''pve-manager''. 
 + 
 +Execute: 
 + 
 +<code bash> 
 +apt update 
 +</code> 
 + 
 +Depois: 
 + 
 +<code bash> 
 +apt policy pve-manager 
 +</code> 
 + 
 +Observe: 
 + 
 +<code> 
 +Installed: 
 +Candidate: 
 +</code> 
 + 
 +### Exemplo 1 — Existe atualização 
 + 
 +<code> 
 +Installed: 9.1.9-1 
 +Candidate: 9.2.x-1 
 +</code> 
 + 
 +Existe uma versão mais recente disponível. 
 + 
 +**AÇÃO:** 
 + 
 +<code> 
 +ATUALIZAR 
 +</code>
  
 ----- -----
  
-===== 🟡 Status da versão =====+### Exemplo 2 — Sistema já está atualizado
  
-Utilize a seguinte lógica:+<code> 
 +Installed: 9.2.x-1 
 +Candidate: 9.2.x-1 
 +</code> 
 + 
 +Não existe uma versão mais recente disponível no repositório configurado. 
 + 
 +**AÇÃO:** 
 + 
 +<code> 
 +SISTEMA ATUALIZADO 
 +</code> 
 + 
 +----- 
 + 
 +### Exemplo 3 — Não é possível determinar apenas pelo número 
 + 
 +Se a versão instalada for, por exemplo: 
 + 
 +<code> 
 +pve-manager: 9.1.9 
 +</code> 
 + 
 +não declare automaticamente que ela está vulnerável ou corrigida somente com base nesse número. 
 + 
 +**AÇÃO:** 
 + 
 +<code> 
 +VERIFICAR E ATUALIZAR PARA A VERSÃO MAIS RECENTE DISPONÍVEL 
 +</code> 
 + 
 +----- 
 + 
 +===== 💥 4. Efeito prático — O que pode acontecer? ===== 
 + 
 +Se o ambiente estiver utilizando um componente afetado, o principal risco está na execução de **JavaScript/HTML malicioso no navegador de um usuário que interaja com o conteúdo vulnerável**. 
 + 
 +Isso é especialmente relevante quando a vítima possui uma sessão administrativa aberta. 
 + 
 +----- 
 + 
 +==== 🎯 Cenário 1 — Administrador acessa conteúdo malicioso ==== 
 + 
 +Imagine um administrador conectado ao Proxmox VE:
  
 <code> <code>
-Versão instalada+Administrador
       │       │
       ▼       ▼
-Consultar versão corrigida no advisory Proxmox +Proxmox VE :8006
-      │ +
-      ├── Igual ou superior +
-      │       ↓ +
-      │    ✅ CORRIGIDO+
       │       │
-      └── Inferior +      ▼ 
-              ↓ +Sessão administrativa ativa
-           🔴 ATUALIZAR+
 </code> </code>
  
-Caso o advisory não indique claramente a versão corrigida para o pacote instalado:+O atacante prepara um conteúdo contendo um payload XSS. 
 + 
 +O administrador interage com esse conteúdo:
  
 <code> <code>
-🟡 STATUS: VERIFICAR+Atacante 
 +   │ 
 +   ▼ 
 +Conteúdo malicioso 
 +   │ 
 +   ▼ 
 +Navegador do administrador 
 +   │ 
 +   ▼ 
 +JavaScript executado
 </code> </code>
  
-Nesse cenário, **não declare a versão como segura ou vulnerável sem confirmação**.+**Efeito prático:** 
 + 
 +O código malicioso passa a ser executado no contexto do navegador da vítima. 
 + 
 +Isso pode permitir tentativas de realizar ações ou acessar informações disponíveis para aquela sessão.
  
 ----- -----
  
-===== 🔍 4. Verificar atualizações disponíveis =====+==== 🎯 Cenário 2 — Tentativa de acesso a informações ====
  
-Atualizar os índices dos repositórios:+Um administrador está autenticado no Proxmox e interage com conteúdo malicioso.
  
-<code bash> +O JavaScript executado pode tentar acessar informações disponíveis no contexto da aplicação web. 
-apt update+ 
 +<code> 
 +Sessão Proxmox 
 +      │ 
 +      ▼ 
 +Navegador 
 +      │ 
 +      ▼ 
 +XSS 
 +      │ 
 +      ▼ 
 +Tentativa de acessar informações
 </code> </code>
  
-Consultar a versão instalada e a versão disponível:+**Efeito prático:**
  
-<code bash> +Informações acessíveis à sessão podem potencialmente ser expostas, dependendo das permissões e das proteções existentes.
-apt policy pve-manager +
-</code>+
  
-Exemplo:+**Importante:** isso não significa que todas as credenciais ou informações do servidor serão automaticamente roubadas. 
 + 
 +----- 
 + 
 +==== 🎯 Cenário 3 — Tentativa de realizar ações administrativas ==== 
 + 
 +Considere um administrador com privilégios elevados conectado ao PVE. 
 + 
 +O navegador executa um conteúdo malicioso dentro do contexto da sessão.
  
 <code> <code>
-Installed: 9.1.9-1 +Atacante 
-Candidate: 9.1.10-1+   │ 
 +   ▼ 
 +XSS 
 +   │ 
 +   ▼ 
 +Navegador do administrador 
 +   │ 
 +   ▼ 
 +Sessão autenticada 
 +   │ 
 +   ▼ 
 +Tentativa de realizar operações
 </code> </code>
  
-Nesse exemplo:+**Efeito prático:**
  
-  * **Installed:** versão atualmente instalada +O atacante pode tentar induzir o navegador a realizar operações disponíveis para aquele usuário autenticado.
-  * **Candidate:** versão disponível no repositório+
  
-Também verificar:+Quanto maior o privilégio da conta comprometida, maior pode ser o impacto potencial.
  
-<code bash> +----- 
-apt list --upgradable + 
-</code>+===== ⚠️ 5. O que a CVE NÃO significa ===== 
 + 
 +A existência da CVE não significa automaticamente que: 
 + 
 +  * O atacante consegue obter ''root'' no servidor 
 +  * O atacante consegue executar comandos diretamente no shell 
 +  * Todas as VMs serão comprometidas 
 +  * O host será automaticamente derrubado 
 +  * O atacante consegue administrar o PVE sem qualquer interação da vítima 
 + 
 +O problema principal está no **navegador e no contexto da sessão do usuário que interage com o conteúdo malicioso**.
  
 ----- -----
  
-===== 🔧 5. Atualizar o Proxmox VE =====+===== 🔧 6. Atualizar o Proxmox VE =====
  
-Se houver uma versão mais recente disponível, realizar a atualização completa:+Após identificar que existe uma atualização disponível, execute:
  
 <code bash> <code bash>
Linha 163: Linha 293:
 </code> </code>
  
-A atualização completa é recomendada para manter os pacotes do Proxmox VE consistentes.+A atualização completa é recomendada para manter os componentes do Proxmox VE consistentes.
  
-**Recomendação:** em ambientes de produção, execute a atualização durante uma janela de manutenção.+**Recomendação:** em ambientes de produção, execute durante uma janela de manutenção.
  
 ----- -----
  
-===== 🔄 6. Reiniciar o host =====+===== 🔄 7. Reiniciar o host =====
  
 Após concluir a atualização: Após concluir a atualização:
Linha 181: Linha 311:
 ----- -----
  
-===== ✅ 7. Confirmar a versão após a atualização =====+===== ✅ 8. Confirmar a versão após a atualização =====
  
-Após o host retornar, verificar novamente:+Após o host retornar:
  
 <code bash> <code bash>
Linha 189: Linha 319:
 </code> </code>
  
-E:+Consultar novamente:
  
 <code bash> <code bash>
Linha 195: Linha 325:
 </code> </code>
  
-Compare novamente a versão instalada com a versão corrigida indicada pelo advisory.+Exemplo: 
 + 
 +<code> 
 +Installed: 9.2.x-1 
 +Candidate: 9.2.x-1 
 +</code> 
 + 
 +O objetivo é confirmar que o host está utilizando a versão atualmente disponibilizada pelo repositório configurado.
  
 ----- -----
  
-===== 🛡️ 8. Restringir acesso à interface web =====+===== 🛡️ 9. Restringir acesso à interface web =====
  
 A interface administrativa do Proxmox VE utiliza a porta: A interface administrativa do Proxmox VE utiliza a porta:
Linha 207: Linha 344:
 </code> </code>
  
-Evite expor diretamente essa porta à Internet.+Evite expor essa porta diretamente à Internet.
  
 **Não recomendado:** **Não recomendado:**
Linha 233: Linha 370:
 </code> </code>
  
-Utilize, quando possível:+Sempre que possível:
  
-  * VPN +  * Utilize VPN para acesso remoto 
-  * Firewall +  * Restrinja a porta 8006 por firewall 
-  * Rede de gerenciamento isolada +  * Utilize uma rede de gerenciamento 
-  * Controle de acesso +  * Limite o acesso administrativo 
-  * Autenticação forte+  * Utilize autenticação forte
  
 ----- -----
  
-===== 🔐 9. Boas práticas =====+===== 🔐 10. Boas práticas de segurança =====
  
-Para reduzir o risco relacionado à interface administrativa:+Além de corrigir a vulnerabilidade:
  
-  * Mantenha o **Proxmox VE atualizado** +  * Mantenha todos os nós do cluster atualizados 
-  * Evite expor a porta **8006/TCP** diretamente à Internet +  * Não exponha diretamente a interface de gerenciamento 
-  * Restrinja o acesso à rede de gerenciamento+  * Utilize VPN para acesso externo 
 +  * Restrinja usuários administrativos
   * Utilize autenticação forte   * Utilize autenticação forte
-  * Utilize contas individuais para administração +  * Evite acessar conteúdos ou links suspeitos enquanto estiver autenticado 
-  * Revise regularmente os acessos administrativos +  * Monitore acessos administrativos
-  * Acompanhe os **Security Advisories** do Proxmox+
  
 ----- -----
  
-===== 🚨 Resumo =====+===== 🚨 11. Resumo da correção =====
  
-A **CVE-2026-51081** é uma vulnerabilidade **XSS** na interface web do Proxmox VE. +O procedimento recomendado é:
- +
-O procedimento correto é:+
  
 <code> <code>
Linha 268: Linha 403:
 2. Identificar pve-manager 2. Identificar pve-manager
         ↓         ↓
-3. Consultar versão corrigida+3. Executar apt update
         ↓         ↓
-4. Verificar atualização disponível+4. Verificar Installed / Candidate
         ↓         ↓
 5. Atualizar 5. Atualizar
Linha 276: Linha 411:
 6. Reiniciar 6. Reiniciar
         ↓         ↓
-7. Confirmar versão corrigida+7. Confirmar versão
 </code> </code>
  
-Comandos principais:+Comandos:
  
 <code bash> <code bash>
 +# Ver versão atual
 pveversion -v | grep pve-manager pveversion -v | grep pve-manager
  
 +# Atualizar índices
 apt update apt update
  
 +# Ver versão instalada e disponível
 apt policy pve-manager apt policy pve-manager
  
 +# Atualizar
 apt full-upgrade -y apt full-upgrade -y
  
 +# Reiniciar
 reboot reboot
  
 +# Confirmar versão
 pveversion -v | grep pve-manager pveversion -v | grep pve-manager
 </code> </code>
- 
-**Regra de ouro:** 
- 
-> Primeiro identifique a versão. Depois confirme se ela está afetada. Só então atualize e valide a correção. 
  
 ----- -----
Linha 303: Linha 440:
 ===== 📌 Exemplo prático ===== ===== 📌 Exemplo prático =====
  
-Servidor antes da atualização:+### Antes 
 + 
 +<code bash> 
 +pveversion -v | grep pve-manager 
 +</code> 
 + 
 +Resultado:
  
 <code> <code>
Linha 309: Linha 452:
 </code> </code>
  
-Nesse caso, **não é correto afirmar somente pelo número `9.1.9` que o servidor está vulnerável ou corrigido**.+Registrar essa informação.
  
-O administrador deve consultar o advisory correspondente e verificar a versão corrigida do componente.+-----
  
-Depois da atualização:+### Verificar atualização 
 + 
 +<code bash> 
 +apt update 
 +apt policy pve-manager 
 +</code> 
 + 
 +Verificar: 
 + 
 +<code> 
 +Installed: 
 +Candidate: 
 +</code> 
 + 
 +Se ''Candidate'' for superior ao ''Installed'', atualizar. 
 + 
 +----- 
 + 
 +### Atualizar 
 + 
 +<code bash> 
 +apt full-upgrade -y 
 +</code> 
 + 
 +----- 
 + 
 +### Reiniciar 
 + 
 +<code bash> 
 +reboot 
 +</code> 
 + 
 +----- 
 + 
 +### Depois
  
 <code bash> <code bash>
Linha 319: Linha 496:
 </code> </code>
  
-Registrar a nova versão e confirmar que ela atende à versão corrigida.+Confirmar a nova versão instalada. 
 + 
 +----- 
 + 
 +===== 🧠 Regra de Ouro ===== 
 + 
 +> **Primeiro identifique a versão. Depois verifique se existe atualização. Atualize. Reinicie. E confirme novamente a versão instalada.** 
 + 
 +Não basta saber que o servidor está executando **Proxmox VE 8 ou 9**. 
 + 
 +A análise deve considerar os **pacotes instalados e as atualizações disponibilizadas pelo repositório Proxmox**.
  
 ----- -----
Linha 326: Linha 513:
  
   * [[https://forum.proxmox.com/threads/proxmox-virtual-environment-security-advisories.149331/|Proxmox — Security Advisories]]   * [[https://forum.proxmox.com/threads/proxmox-virtual-environment-security-advisories.149331/|Proxmox — Security Advisories]]
-  * [[https://www.proxmox.com/|Proxmox]] +  * [[https://nvd.nist.gov/vuln/detail/CVE-2026-51081|NIST — CVE-2026-51081]]
-  * [[https://nvd.nist.gov/|NIST — National Vulnerability Database]]+
   * [[https://cve.armis.com/CVE-2026-51081|CVE-2026-51081]]   * [[https://cve.armis.com/CVE-2026-51081|CVE-2026-51081]]
proxmox/cve-2026-51081.1788351566.txt.gz · Última modificação: por admin
Donate Powered by PHP Valid HTML5 Valid CSS Driven by DokuWiki