Procedimentos - Projeto Empresa Livre

Essa página está em modo somente de leitura. Você pode visualizar a fonte, mas não alterá-la. Informe-se com o administrador do Wiki, caso você ache que isso está incorreto.
====== 🔐 CVE-2026-51081 — Correção XSS no Proxmox VE ======

===== 📋 Visão Geral =====

A **CVE-2026-51081** é uma vulnerabilidade de **Cross-Site Scripting (XSS)** identificada na interface web do **Proxmox Virtual Environment (PVE)**.

A vulnerabilidade permite que um atacante utilize um conteúdo especialmente preparado para tentar executar **JavaScript ou HTML no navegador de um usuário** que interaja com esse conteúdo.

O risco é maior quando a vítima possui uma **sessão administrativa ativa no Proxmox VE**.

  * **CVE:** CVE-2026-51081
  * **Tipo:** Cross-Site Scripting (XSS)
  * **Severidade:** Medium — CVSS 6.1
  * **Interação do usuário:** Necessária
  * **Componente:** Interface web do Proxmox VE

**Importante:** esta vulnerabilidade não deve ser interpretada automaticamente como uma vulnerabilidade de **RCE (Remote Code Execution)** ou como acesso direto ao shell/root do servidor.

-----

===== 🔎 1. Verificar a versão instalada =====

Antes de atualizar, identifique a versão atualmente instalada.

Execute:

<code bash>
pveversion -v | grep pve-manager
</code>

Exemplo:

<code>
pve-manager: 9.1.9 (running version: 9.1.9/ee7bad0a3d1546c9)
</code>

Também é possível consultar a versão através do APT:

<code bash>
apt policy pve-manager
</code>

Exemplo:

<code>
Installed: 9.1.9-1
Candidate: 9.1.9-1
</code>

**Anote a versão instalada antes da atualização.**

Isso permite comparar o estado do ambiente antes e depois da correção.

-----

===== 🚨 2. Versões afetadas =====

A descrição pública da **CVE-2026-51081** identifica versões específicas dos componentes do Proxmox VE como afetadas.

^ Linha do PVE ^ Versão identificada como afetada ^
| **PVE 9.x** | **5.1.8** |
| **PVE 8.x** | **4.3.16** |

**ATENÇÃO**

Os números **5.1.8** e **4.3.16** apresentados no registro da CVE não devem ser confundidos automaticamente com a versão geral exibida pelo comando:

<code>
pve-manager: 9.1.9
</code>

Por exemplo:

<code>
pve-manager: 9.1.9
</code>

não significa automaticamente:

<code>
9.1.9 = vulnerável
</code>

ou:

<code>
9.1.9 = corrigido
</code>

A avaliação deve considerar a versão do componente/pacote e a versão disponibilizada pelo repositório Proxmox.

-----

===== 🟡 3. Como saber se devo atualizar? =====

O primeiro passo é verificar se existe uma versão mais recente disponível para o ''pve-manager''.

Execute:

<code bash>
apt update
</code>

Depois:

<code bash>
apt policy pve-manager
</code>

Observe:

<code>
Installed:
Candidate:
</code>

### Exemplo 1 — Existe atualização

<code>
Installed: 9.1.9-1
Candidate: 9.2.x-1
</code>

Existe uma versão mais recente disponível.

**AÇÃO:**

<code>
ATUALIZAR
</code>

-----

### Exemplo 2 — Sistema já está atualizado

<code>
Installed: 9.2.x-1
Candidate: 9.2.x-1
</code>

Não existe uma versão mais recente disponível no repositório configurado.

**AÇÃO:**

<code>
SISTEMA ATUALIZADO
</code>

-----

### Exemplo 3 — Não é possível determinar apenas pelo número

Se a versão instalada for, por exemplo:

<code>
pve-manager: 9.1.9
</code>

não declare automaticamente que ela está vulnerável ou corrigida somente com base nesse número.

**AÇÃO:**

<code>
VERIFICAR E ATUALIZAR PARA A VERSÃO MAIS RECENTE DISPONÍVEL
</code>

-----

===== 💥 4. Efeito prático — O que pode acontecer? =====

Se o ambiente estiver utilizando um componente afetado, o principal risco está na execução de **JavaScript/HTML malicioso no navegador de um usuário que interaja com o conteúdo vulnerável**.

Isso é especialmente relevante quando a vítima possui uma sessão administrativa aberta.

-----

==== 🎯 Cenário 1 — Administrador acessa conteúdo malicioso ====

Imagine um administrador conectado ao Proxmox VE:

<code>
Administrador
      │
      ▼
Proxmox VE :8006
      │
      ▼
Sessão administrativa ativa
</code>

O atacante prepara um conteúdo contendo um payload XSS.

O administrador interage com esse conteúdo:

<code>
Atacante
   │
   ▼
Conteúdo malicioso
   │
   ▼
Navegador do administrador
   │
   ▼
JavaScript executado
</code>

**Efeito prático:**

O código malicioso passa a ser executado no contexto do navegador da vítima.

Isso pode permitir tentativas de realizar ações ou acessar informações disponíveis para aquela sessão.

-----

==== 🎯 Cenário 2 — Tentativa de acesso a informações ====

Um administrador está autenticado no Proxmox e interage com conteúdo malicioso.

O JavaScript executado pode tentar acessar informações disponíveis no contexto da aplicação web.

<code>
Sessão Proxmox
      │
      ▼
Navegador
      │
      ▼
XSS
      │
      ▼
Tentativa de acessar informações
</code>

**Efeito prático:**

Informações acessíveis à sessão podem potencialmente ser expostas, dependendo das permissões e das proteções existentes.

**Importante:** isso não significa que todas as credenciais ou informações do servidor serão automaticamente roubadas.

-----

==== 🎯 Cenário 3 — Tentativa de realizar ações administrativas ====

Considere um administrador com privilégios elevados conectado ao PVE.

O navegador executa um conteúdo malicioso dentro do contexto da sessão.

<code>
Atacante
   │
   ▼
XSS
   │
   ▼
Navegador do administrador
   │
   ▼
Sessão autenticada
   │
   ▼
Tentativa de realizar operações
</code>

**Efeito prático:**

O atacante pode tentar induzir o navegador a realizar operações disponíveis para aquele usuário autenticado.

Quanto maior o privilégio da conta comprometida, maior pode ser o impacto potencial.

-----

===== ⚠️ 5. O que a CVE NÃO significa =====

A existência da CVE não significa automaticamente que:

  * O atacante consegue obter ''root'' no servidor
  * O atacante consegue executar comandos diretamente no shell
  * Todas as VMs serão comprometidas
  * O host será automaticamente derrubado
  * O atacante consegue administrar o PVE sem qualquer interação da vítima

O problema principal está no **navegador e no contexto da sessão do usuário que interage com o conteúdo malicioso**.

-----

===== 🔧 6. Atualizar o Proxmox VE =====

Após identificar que existe uma atualização disponível, execute:

<code bash>
apt full-upgrade -y
</code>

A atualização completa é recomendada para manter os componentes do Proxmox VE consistentes.

**Recomendação:** em ambientes de produção, execute durante uma janela de manutenção.

-----

===== 🔄 7. Reiniciar o host =====

Após concluir a atualização:

<code bash>
reboot
</code>

A reinicialização garante que os componentes atualizados sejam carregados corretamente.

-----

===== ✅ 8. Confirmar a versão após a atualização =====

Após o host retornar:

<code bash>
pveversion -v | grep pve-manager
</code>

Consultar novamente:

<code bash>
apt policy pve-manager
</code>

Exemplo:

<code>
Installed: 9.2.x-1
Candidate: 9.2.x-1
</code>

O objetivo é confirmar que o host está utilizando a versão atualmente disponibilizada pelo repositório configurado.

-----

===== 🛡️ 9. Restringir acesso à interface web =====

A interface administrativa do Proxmox VE utiliza a porta:

<code>
TCP/8006
</code>

Evite expor essa porta diretamente à Internet.

**Não recomendado:**

<code>
Internet
   │
   ▼
Proxmox VE :8006
</code>

**Recomendado:**

<code>
Internet
   │
   ▼
VPN / Firewall
   │
   ▼
Rede de Gerenciamento
   │
   ▼
Proxmox VE :8006
</code>

Sempre que possível:

  * Utilize VPN para acesso remoto
  * Restrinja a porta 8006 por firewall
  * Utilize uma rede de gerenciamento
  * Limite o acesso administrativo
  * Utilize autenticação forte

-----

===== 🔐 10. Boas práticas de segurança =====

Além de corrigir a vulnerabilidade:

  * Mantenha todos os nós do cluster atualizados
  * Não exponha diretamente a interface de gerenciamento
  * Utilize VPN para acesso externo
  * Restrinja usuários administrativos
  * Utilize autenticação forte
  * Evite acessar conteúdos ou links suspeitos enquanto estiver autenticado
  * Monitore acessos administrativos

-----

===== 🚨 11. Resumo da correção =====

O procedimento recomendado é:

<code>
1. Verificar versão atual
        ↓
2. Identificar pve-manager
        ↓
3. Executar apt update
        ↓
4. Verificar Installed / Candidate
        ↓
5. Atualizar
        ↓
6. Reiniciar
        ↓
7. Confirmar versão
</code>

Comandos:

<code bash>
# Ver versão atual
pveversion -v | grep pve-manager

# Atualizar índices
apt update

# Ver versão instalada e disponível
apt policy pve-manager

# Atualizar
apt full-upgrade -y

# Reiniciar
reboot

# Confirmar versão
pveversion -v | grep pve-manager
</code>

-----

===== 📌 Exemplo prático =====

### Antes

<code bash>
pveversion -v | grep pve-manager
</code>

Resultado:

<code>
pve-manager: 9.1.9 (running version: 9.1.9/ee7bad0a3d1546c9)
</code>

Registrar essa informação.

-----

### Verificar atualização

<code bash>
apt update
apt policy pve-manager
</code>

Verificar:

<code>
Installed:
Candidate:
</code>

Se ''Candidate'' for superior ao ''Installed'', atualizar.

-----

### Atualizar

<code bash>
apt full-upgrade -y
</code>

-----

### Reiniciar

<code bash>
reboot
</code>

-----

### Depois

<code bash>
pveversion -v | grep pve-manager
</code>

Confirmar a nova versão instalada.

-----

===== 🧠 Regra de Ouro =====

> **Primeiro identifique a versão. Depois verifique se existe atualização. Atualize. Reinicie. E confirme novamente a versão instalada.**

Não basta saber que o servidor está executando **Proxmox VE 8 ou 9**.

A análise deve considerar os **pacotes instalados e as atualizações disponibilizadas pelo repositório Proxmox**.

-----

===== 🔗 Referências =====

  * [[https://forum.proxmox.com/threads/proxmox-virtual-environment-security-advisories.149331/|Proxmox — Security Advisories]]
  * [[https://nvd.nist.gov/vuln/detail/CVE-2026-51081|NIST — CVE-2026-51081]]
  * [[https://cve.armis.com/CVE-2026-51081|CVE-2026-51081]]