返回技術公告
資安通知嚴重程度高推估CVSS原廠未提供

Proxmox VE 儲存磁碟區名稱指令注入、SDN 權限檢查不完整等多項漏洞，請更新套件

Proxmox VE

Proxmox 原廠於 2026 年 11 月 10 日發布 6 則 Proxmox VE 安全公告。其中 PSA-2026-00088 為儲存磁碟區（volume）名稱的指令注入：在 ZFS over iSCSI 儲存上配置磁碟時未驗證磁碟區名稱，具該儲存 Datastore.AllocateSpace 權限者可在 iSCSI 目標主機上以 root 執行的指令中注入任意參數；目錄類儲存同樣未檢查磁碟區名稱，同時具 Datastore.AllocateSpace 與 VM.Migrate 權限者可在遷移目標主機上注入指令。其餘公告包括：SDN API 多處權限檢查不完整或缺漏、SDN 路由對應（route map）設定可注入任意 FRR 設定行、惡意 OCI 範本解壓時可刪除容器根目錄以外的檔案、修改容器網卡時可設定原本無權使用的橋接介面或 VNet，以及網頁伺服器（libpve-http-server-perl）的存取記錄與 HTTP 標頭處理強化。原廠未提供 CVSS 分數，本公告「高」為本公司依影響範圍評估，非原廠或 NVD 分級；原廠已列出各套件修正版本，更新時應確認實際安裝版本已達門檻。

影響版本

  • Proxmox VE 9：原廠列出各套件修正版本，但未明列各漏洞的完整受影響版本範圍；未達下列修正版本的套件應更新

已修正版本

  • libpve-storage-perl 9.1.15 以上、qemu-server 9.2.15 以上、libpve-guest-common-perl 6.0.7 以上（PSA-2026-00088 磁碟區名稱指令注入）
  • libpve-http-server-perl6.0.6 以上PSA-2026-00089 網頁伺服器記錄與標頭處理
  • libpve-network-api-perl1.6.8 以上PSA-2026-00092 SDN API 權限檢查、00093 FRR 設定注入
  • libpve-network-perl1.6.8 以上PSA-2026-00093
  • libpve-rs-perl0.15.4 以上PSA-2026-00093、00094 OCI 範本解壓路徑逃逸；原廠另列 Rust 開發套件 librust-proxmox-oci-dev 0.2.2，一般節點以 libpve-rs-perl 為準
  • pve-container6.1.17 以上PSA-2026-00095 容器網卡權限檢查

建議處理方式

  1. PVE 9：以網頁介面「節點 → 更新」或 apt update、apt full-upgrade 將所有節點更新至最新套件；叢集內每個節點都要更新
  2. PVE 8：原廠支援已於 2026 年 8 月結束，本次公告未明列各漏洞對 PVE 8 的適用情形，也未提供 8.x 修正，應規劃升級至 PVE 9
  3. 使用 SDN 管理區域（zone）的帳號，更新後可能需要另外授予 DNS / IPAM 外掛、控制器等物件的 SDN.Use 或 SDN.Allocate 權限（例如預設 IPAM 的 /sdn/ipams/pve），原廠公告已說明此行為變更
  4. 檢視使用者與 API 權杖權限，確認 Datastore.AllocateSpace、VM.Migrate 及 SDN 相關權限只授予必要的帳號
  5. 避免使用來源不明的 OCI 映像作為容器範本

如何確認是否受影響

  • 執行 dpkg-query -W libpve-storage-perl qemu-server libpve-guest-common-perl libpve-http-server-perl libpve-network-perl libpve-network-api-perl libpve-rs-perl pve-container，逐項確認實際安裝版本已達上述版本（pveversion -v 未列出全部套件，僅作輔助）
  • 於網頁介面「節點 → 更新」確認沒有待安裝的套件（僅作輔助，仍以實際安裝版本為準）

參考來源

Proxmox 論壇：Proxmox Virtual Environment – Security Advisories 第 5 頁（PSA-2026-00088、00089、00092～00095）forum.proxmox.comCISA Known Exploited Vulnerabilities Catalogwww.cisa.gov

本文依原廠與公開漏洞資料庫資訊整理，實際影響請以原廠公告為準。

以 RSS 訂閱技術公告選擇要訂閱的軟體，將產生的網址加入 RSS 閱讀器（如 Feedly、Inoreader、Outlook、Thunderbird、Teams、Slack），有新公告時自動收到。

未勾選時為全部公告。依類別訂閱：全部・資安通知・版本更新

資料來源本區資訊整理自各原廠官方公告、版本說明與公開漏洞資料庫，每日檢查更新；點選展開查看來源網站。

Mail Piler

嚴重程度依原廠或 NVD 公布的 CVSS 3.1 分數分級（9.0 以上為重大、7.0 以上為高、4.0 以上為中）；已列入美國 CISA 已知遭利用漏洞清單（KEV）者一律列為重大；原廠未提供分數時依原廠評等與影響範圍判斷，並於各公告註明。版本發布與停止支援公告列為中。實際影響請以原廠公告為準。

相關公告