883
Host Terekspos di Indonesia
0
Kredensial Dibutuhkan
ROOT
Potensi Akses
P1
Immediate Remediation
KRES.ID mengidentifikasi ancaman kritis pada instalasi Proxmox Virtual Environment (PVE) versi End-of-Life yang memungkinkan penyerang melewati mekanisme autentikasi dan memperoleh akses sebagai user yang valid tanpa mengetahui password.
Kerentanan terdapat pada mekanisme autentikasi API Proxmox VE,
khususnya pemrosesan parameter tfa-challenge pada
endpoint POST /api2/json/access/ticket. Pada versi
terdampak, keberadaan parameter tersebut dapat menyebabkan proses
verifikasi password dilewati apabila akun target tidak memiliki second
factor/TFA yang dikonfigurasi.
Akibatnya, attacker yang dapat mengakses API Proxmox VE dapat
melakukan autentikasi sebagai existing enabled user tanpa TFA — dan
secara default, kondisi tersebut dapat mencakup akun
root@pam. Eksploitasi yang berhasil berpotensi memberikan
attacker akses administratif penuh terhadap lingkungan virtualisasi
Proxmox.
Situasi menjadi semakin kritis karena exploit/PoC telah tersedia secara publik dan Proxmox melaporkan adanya exploitation in the wild.
883
host di Indonesia
Berdasarkan penelusuran KRES.ID melalui Shodan pada 1 September 2026, terdapat 883 host di Indonesia yang mengekspos antarmuka manajemen Proxmox VE (TCP/8006) langsung ke internet. Host-host ini terjangkau oleh siapa pun di jaringan publik — dan sebagian di antaranya berpotensi menjalankan versi package yang rentan terhadap kerentanan ini.
Perlu dicatat: angka ini merepresentasikan tingkat
paparan (exposure), bukan konfirmasi kerentanan.
Status rentan hanya dapat dipastikan dengan memverifikasi versi
libpve-access-control pada masing-masing host. Namun,
mengingat exploit sudah publik dan eksploitasi aktif dilaporkan,
setiap Proxmox VE yang API-nya terekspos ke internet harus segera
diperiksa dan diamankan
— terlepas dari versinya.
Bagi organisasi di Indonesia yang menjalankan Proxmox sebagai platform virtualisasi, ini berarti permukaan serangan nyata sudah ada di depan mata, bukan sekadar risiko teoretis.
Affected package:
libpve-access-control >= 7.0-7 dan < 8.0.4
Secara umum rentang tersebut berkorelasi dengan: Proxmox VE 7.0–7.4 dan initial release Proxmox VE 8.0. Proxmox VE 7 telah End-of-Life sejak Juli 2024.
Administrator tidak disarankan menentukan status kerentanan hanya berdasarkan versi utama Proxmox VE, karena versi package dapat berbeda. Verifikasi versi package secara langsung:
dpkg-query -W -f '${Version}\n' libpve-access-control
Alternatif: pveversion -v lalu cari versi package
libpve-access-control.
Fixed version:
libpve-access-control 8.0.4 dan seluruh versi setelahnya.
Menurut Proxmox, tidak ada release Proxmox VE yang saat ini masih
didukung yang terdampak.
Proxmox VE menggunakan endpoint
POST /api2/json/access/ticket untuk proses login.
Endpoint tersebut menerima parameter tfa-challenge yang
seharusnya membawa signed TFA challenge ticket yang diperoleh setelah
user menyelesaikan tahap awal autentikasi.
Pada implementasi yang vulnerable terdapat kombinasi logic flaw:
tfa-challenge tidak divalidasi secara benar untuk user
yang tidak memiliki second factor.
Keberadaan parameter tersebut menyebabkan proses verifikasi password dilewati.
Akibatnya attacker dapat mengirimkan nilai
tfa-challenge yang arbitrary. Jika username target
merupakan akun aktif tanpa TFA, sistem dapat melanjutkan proses
autentikasi tanpa validasi password.
Attack Flow
POST /api2/json/access/ticket
Arbitrary tfa-challenge
Jika akun target adalah root@pam, dampaknya adalah akses
administratif penuh terhadap Proxmox VE.
PUBLIC EXPLOIT: AVAILABLE — Pada 1 September 2026, PoC/exploit yang mendemonstrasikan authentication bypass telah dipublikasikan secara terbuka.
EXPLOITATION IN THE WILD: REPORTED — Proxmox menyatakan mengetahui vulnerability ini setelah menerima banyak laporan independen yang juga melaporkan eksploitasi di dunia nyata.
Dengan kombinasi Unauthenticated + Remote + Root-level impact + Public PoC + Active exploitation, KRES menilai kerentanan ini membutuhkan penanganan segera.
Eksploitasi berhasil berpotensi memungkinkan attacker:
root@pam bila akun tidak menggunakan
TFA
Dalam skenario terburuk, compromise terhadap Proxmox host berdampak pada seluruh workload yang berjalan pada node tersebut.
Risiko tertinggi pada Proxmox VE yang:
Instalasi yang API-nya tidak terjangkau attacker memiliki exposure jauh lebih rendah, dan user dengan TFA aktif tidak terkena jalur bypass ini.
Empat prioritas tindakan, dari identifikasi hingga remediasi permanen.
Inventory seluruh Proxmox VE dan periksa versi package dengan
dpkg-query -W -f '${Version}\n' libpve-access-control.
Jika hasilnya >= 7.0-7 dan < 8.0.4, anggap sistem
VULNERABLE.
Pastikan management interface TIDAK terekspos langsung ke Internet. Batasi TCP/8006 dengan firewall, management VLAN, VPN, bastion/jump host, trusted IP allowlist, dan reverse proxy access control.
Pastikan seluruh privileged account menggunakan Two-Factor
Authentication — prioritaskan root@pam dan seluruh akun
administratif.
Fixed package: libpve-access-control >= 8.0.4.
Karena Proxmox VE 7 telah End-of-Life, KRES tidak merekomendasikan
stop-gap patch sebagai solusi permanen — upgrade ke release Proxmox
VE yang masih didukung, karena sistem EOL juga tidak menerima
security update untuk PVE stack, Linux kernel, QEMU, LXC, dan
dependency lainnya.
Emergency Mitigation
Jika upgrade belum dapat dilakukan, Proxmox menyediakan temporary
mitigation untuk validasi tfa-challenge; verifikasi
keberhasilannya sesuai prosedur resmi Proxmox. Catatan KRES:
gunakan hanya sebagai emergency containment — upgrade tetap
remediation utama.
Karena eksploitasi telah dilaporkan di dunia nyata, organisasi dengan instance rentan sebaiknya tidak berhenti pada patching. KRES merekomendasikan compromise assessment terhadap sistem yang pernah mengekspos API/port 8006 ke untrusted network.
Prioritaskan pemeriksaan:
root@pam
Jika Proxmox VE rentan pernah terekspos langsung ke Internet, perlakukan sebagai potentially compromised until validated otherwise.
| Severity | CRITICAL |
| Exploit Complexity | LOW |
| Privileges Required | NONE |
| User Interaction | NONE |
| Attack Vector | NETWORK |
| Public Exploit | YES |
| Exploitation in the Wild | REPORTED |
| Potential Privilege | ROOT/ADMINISTRATOR |
| Infrastructure Impact | VERY HIGH |
| KRES Priority | P1 — IMMEDIATE REMEDIATION |
Juli 2023
Vulnerable code path tertutup melalui perubahan handling TFA; fix tersedia pada libpve-access-control 8.0.4.
Juli 2024
Proxmox VE 7 mencapai End-of-Life.
Akhir Agustus 2026
Berbagai pihak independen menemukan dan melaporkan authentication bypass, termasuk indikasi exploitation in the wild.
1 September 2026
Proxmox menerbitkan PSA-2026-00043-1; public exploit/PoC tersedia.
Tim KRES siap membantu verifikasi paparan, compromise assessment untuk instance yang pernah terekspos, hingga pendampingan upgrade dan hardening lingkungan virtualisasi Anda.
KRES.ID | PT Karya Siber Mandiri — Empowering Your Cybersecurity Journey