Plataforma
go
Componente
github.com/bpg/terraform-provider-proxmox
Corrigido em
0.93.2
0.93.1
O CVE-2026-25499 afeta o terraform-provider-proxmox, uma ferramenta de provisionamento de infraestrutura. A vulnerabilidade reside em uma recomendação insegura de uso de sudo na documentação, que pode levar à escalação de privilégios se não for devidamente mitigada. Versões anteriores a 0.93.1 são vulneráveis. A correção foi lançada na versão 0.93.1.
A principal consequência desta vulnerabilidade é a possibilidade de escalação de privilégios. Um atacante, explorando a recomendação inadequada de sudo, pode obter acesso não autorizado a recursos e dados protegidos dentro do ambiente Proxmox gerenciado pelo Terraform. Isso pode resultar em comprometimento da infraestrutura, roubo de dados sensíveis e interrupção dos serviços. A falta de controles de acesso adequados, combinada com a exploração desta vulnerabilidade, pode levar a um impacto significativo na confidencialidade, integridade e disponibilidade dos sistemas.
O CVE-2026-25499 foi publicado em 2026-02-05. Não há informações disponíveis sobre exploração ativa ou a inclusão em catálogos como o KEV. A probabilidade de exploração depende da adoção do terraform-provider-proxmox e da implementação de controles de segurança adequados. A ausência de um PoC público não elimina o risco, mas indica um nível de dificuldade maior para a exploração.
Organizations utilizing Terraform to manage Proxmox environments are at risk. This includes DevOps teams, infrastructure engineers, and anyone responsible for configuring and maintaining Proxmox clusters. Specifically, those who have followed the documentation's sudo recommendations are most vulnerable.
disclosure
Status do Exploit
EPSS
0.03% (percentil 8%)
CISA SSVC
A mitigação primária para o CVE-2026-25499 é a atualização para a versão 0.93.1 do terraform-provider-proxmox. Se a atualização imediata não for possível, implemente controles de acesso mais rigorosos, restringindo o uso de sudo apenas aos usuários e processos que realmente necessitam dele. Revise a documentação e as configurações do Terraform para garantir que as práticas recomendadas de segurança estejam sendo seguidas. Considere a implementação de políticas de privilégio mínimo para limitar o impacto de uma possível exploração. Após a atualização, confirme a correção verificando a versão do provider e revisando a documentação para garantir que a recomendação insegura foi removida.
Actualice el proveedor de Terraform para Proxmox a la versión 0.93.1 o superior. Esta versión corrige la configuración de sudo insegura en la documentación. Al actualizar, se previene la posibilidad de escapar del directorio y editar archivos arbitrarios en el sistema.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
É uma vulnerabilidade que reside em uma recomendação insegura de uso de sudo na documentação do terraform-provider-proxmox, permitindo potencial escalação de privilégios em versões anteriores a 0.93.1.
Sim, se você estiver utilizando uma versão do terraform-provider-proxmox anterior a 0.93.1, você está potencialmente afetado.
A correção é atualizar para a versão 0.93.1 do terraform-provider-proxmox. Se a atualização não for imediata, implemente controles de acesso mais rigorosos.
Atualmente, não há informações disponíveis sobre exploração ativa desta vulnerabilidade.
Verifique o repositório oficial do terraform-provider-proxmox no GitHub para obter informações e atualizações sobre a vulnerabilidade.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.
Envie seu arquivo go.mod e descubra na hora se você está afetado.