Une vague de requêtes malveillantes cible actuellement les serveurs de virtualisation sous Proxmox VE pour exploiter la vulnérabilité CVE-2023-54391. Cette faille de contournement d’authentification, présente dans l’API, permet à un attaquant d’obtenir un accès administrateur complet en envoyant une seule requête HTTP forgée.
Identifiée fin 2023 et corrigée discrètement par l’éditeur via une mise à jour du paquet libpve-access-control dans Proxmox VE 8.0.4, la vulnérabilité n’a reçu son numéro CVE qu’en septembre 2026 suite aux analyses de VulnCheck. Cette longue période d’ombre explique pourquoi de nombreux environnements sous Proxmox VE 7 ou versions antérieures non patchées restent vulnérables.
Le mécanisme repose sur le processus d’authentification de l’API via l’endpoint /api2/json/access/ticket. Lors d’une connexion avec double authentification, le serveur émet un défi via le paramètre tfa-challenge. Le code source initial considérait par erreur que toute requête intégrant ce paramètre avait déjà validé les étapes précédentes, permettant ainsi de s’affranchir de la vérification du mot de passe pour les comptes non protégés par le 2FA.
Les équipes de CrowdSec ont relevé des centaines de tentatives d’exploitation en l’espace de quelques jours, ciblant directement les ports d’administration exposés sur Internet. L’impact est critique puisque l’obtention d’un jeton CSRF et d’un ticket de session valide accorde les privilèges de l’utilisateur ciblé, généralement le compte root@pam.
La parade immédiate consiste à appliquer les correctifs de sécurité fournis par l’éditeur en mettant à jour les paquets système, ou à restreindre strictement l’accès à l’interface de gestion et à l’API via un réseau privé virtuel ou un filtrage par pare-feu, évitant ainsi toute exposition directe sur le réseau public.
Cet article a été modifié pour la dernière fois le 8 septembre 2026 11h24
