Yüksek ÖNEM — Güvenlik Açığı

runc CVE-2024-21626: LXC container kaçışı yaması

Container çalışma zamanındaki zafiyet, host dosya sistemine erişim sağlayabiliyor; PVE depolarındaki yamalı sürüm yüklenmeli.

Platform
Proxmox VE
Sürüm
PVE 8 / Bookworm tabanlı
CVE Kaydı
CVE-2024-21626
CVSS Skoru
8.6/10
Yayın Tarihi
01 Şubat 2026
Okunma
31
Birincil kaynak: Kaynaktaki resmî duyuruyu inceleyin: forum.proxmox.com Kaynağa Git

Özet

CVE-2024-21626, runc'nin WORKDIR işleme hatası üzerinden container'dan host dosya sistemine sızmayı mümkün kılıyor. PVE'de LXC altyapısı runc kullanmadığı için doğrudan etki sınırlı; ancak nested Docker/Podman çalıştıran VM ve CT'lerde risk yüksek.

Yapılması Gerekenler

  • apt dist-upgrade ile güncel çekirdek ve kullanıcı alanı paketleri
  • İçinde Docker çalışan CT şablonlarını güncelleyin
  • Mümkünse container'ları unprivileged moda taşıyın

Proxmox VE — İlgili Duyurular

TÜMÜNÜ GÖR →
Proxmox VE 01 Eyl 2026
Kritik · 9.3

CVE-2023-54391 — Proxmox Virtual Environment (VE) 7.0 through 8.0'de libpve-access-contro içinde bir kimlik doğrulama atlatma zafiyeti içeriyor

Proxmox Virtual Environment (VE) 7.0 through 8.0, libpve-access-control'un 8.0.4 öncesi sürümlerinde, API oturum açma uç noktasında keyfi bir tfa-challenge değeri sağlayarak yapılandırılmış ikinci faktörü olmayan hesaplarda kimlik doğrulama atlamasına izin veren bir zafiyet içerir. Saldırganlar, tfa-challenge parametresine herhangi bir değer koyarak access ticket API endpoint'ine bir POST isteği gönderip parola doğrulamasını tamamen atlayabilir.

CVE-2023-54391 Güvenlik Açığı 41