terraform-provider-proxmox 在 github.com/bpg/terraform-provider-proxmox 的文档中存在不安全的 sudo 建议。

该漏洞的关键在于terraform-provider-proxmox文档中对sudo使用的不安全建议。如果用户遵循了文档中的建议，并且配置不当，攻击者可能能够利用此漏洞在Proxmox环境中提升权限。虽然该漏洞本身并非直接的代码缺陷，但它为攻击者提供了利用配置错误的机会，可能导致对Proxmox服务器的未经授权访问和控制。潜在影响包括数据泄露、系统破坏以及进一步的横向移动攻击。

Organizations utilizing Terraform to manage Proxmox environments are at risk. This includes DevOps teams, infrastructure engineers, and anyone responsible for configuring and maintaining Proxmox clusters. Specifically, those who have followed the documentation's sudo recommendations are most vulnerable.

1. 2026-02-05Disclosure

   disclosure

1. 已保留2026-02-02
2. 发布日期2026-02-05
3. EPSS 更新日期2026-03-23

针对CVE-2026-25499，最有效的缓解措施是升级terraform-provider-proxmox至0.93.1版本或更高版本。在升级之前，建议备份terraform配置，以防升级过程中出现问题。如果升级导致配置中断，可以考虑回滚至之前的版本。此外，应仔细审查terraform配置，确保sudo的使用符合最佳安全实践，避免不必要的权限提升。建议定期审查terraform配置，并遵循Proxmox官方的安全指南。