プラットフォーム
go
コンポーネント
github.com/bpg/terraform-provider-proxmox
修正版
0.93.2
0.93.1
CVE-2026-25499は、github.com/bpg/terraform-provider-proxmoxのドキュメントに記載されているsudo推奨が不適切である脆弱性です。この脆弱性は、攻撃者が特権昇格を試みる可能性を秘めています。影響を受けるバージョンは特定されていませんが、0.93.1で修正されています。迅速な対応が求められます。
この脆弱性は、terraform-provider-proxmoxのドキュメントが、sudo権限を持つユーザーを推奨している点に起因します。攻撃者がこの推奨事項を悪用した場合、システムへの不正アクセスや、機密情報の窃取、さらにはシステム全体の制御権の奪取といった深刻な被害が発生する可能性があります。特に、terraformを介してProxmox環境を管理している組織や個人は、この脆弱性によるリスクを十分に認識し、適切な対策を講じる必要があります。この不適切な推奨は、攻撃者がProxmox環境への侵入を容易にする可能性があります。
このCVEは2026年2月5日に公開されました。現時点では、この脆弱性を悪用した具体的な攻撃事例は報告されていません。KEVへの登録状況は不明です。公開されているPoCは存在しません。この脆弱性は、ドキュメントの不適切な記述に起因するため、直接的な攻撃経路は限定的ですが、攻撃者がこの情報を利用してProxmox環境への侵入を試みる可能性は否定できません。
Organizations utilizing Terraform to manage Proxmox environments are at risk. This includes DevOps teams, infrastructure engineers, and anyone responsible for configuring and maintaining Proxmox clusters. Specifically, those who have followed the documentation's sudo recommendations are most vulnerable.
disclosure
エクスプロイト状況
EPSS
0.03% (8% パーセンタイル)
CISA SSVC
この脆弱性に対する直接的な修正は、terraform-provider-proxmoxのバージョンアップによって行われます。バージョン0.93.1へのアップデートを強く推奨します。もしアップデートが困難な場合は、sudo権限の使用を最小限に抑えるようにProxmox環境の構成を見直すか、terraformの設定で必要な権限を厳密に制限するなどの対策を講じる必要があります。また、terraformの実行環境を隔離するなどの対策も有効です。アップデート後、Proxmox環境のセキュリティ設定を再確認し、不審なアクティビティがないか監視してください。
Actualice el proveedor de Terraform para Proxmox a la versión 0.93.1 o superior. Esta versión corrige la configuración de sudo insegura en la documentación. Al actualizar, se previene la posibilidad de escapar del directorio y editar archivos arbitrarios en el sistema.
脆弱性分析と重要アラートをメールでお届けします。
CVE-2026-25499は、terraform-provider-proxmoxのドキュメントにおけるsudo権限の推奨が不適切である脆弱性です。攻撃者はこの推奨事項を悪用して、Proxmox環境への不正アクセスを試みる可能性があります。
terraform-provider-proxmoxを利用してProxmox環境を管理している場合は、影響を受ける可能性があります。特に、terraformの設定でsudo権限を広範囲に付与している環境は注意が必要です。
terraform-provider-proxmoxをバージョン0.93.1にアップデートしてください。アップデートが困難な場合は、sudo権限の使用を最小限に抑えるようにProxmox環境の構成を見直してください。
現時点では、この脆弱性を悪用した具体的な攻撃事例は報告されていません。
github.com/bpg/terraform-provider-proxmoxのリポジトリで関連情報を確認してください。
go.mod ファイルをアップロードすると、影響の有無を即座にお知らせします。