Peringatan Keamanan: Kerentanan Critical Authentication Bypass CVE-2023-54391 pada Proxmox VE

Banda Aceh-CSIRT mengimbau seluruh Perangkat Daerah di lingkungan Pemerintah Kota Banda Aceh yang menggunakan Proxmox Virtual Environment (VE) untuk segera melakukan pemeriksaan dan pembaruan terhadap komponen libpve-access-control. Ditemukan kerentanan Authentication Bypass pada Proxmox VE dengan identitas CVE-2023-54391 yang dapat memungkinkan penyerang tanpa autentikasi melewati proses verifikasi pada endpoint API login. Kerentanan ini memiliki tingkat risiko Critical, dengan skor CVSS v3.1 sebesar 9.8 dan CVSS v4.0 sebesar 9.3.

Kerentanan ini menjadi perhatian serius karena Proxmox VE digunakan sebagai platform pengelolaan lingkungan virtualisasi. Eksploitasi yang berhasil berpotensi memberikan akses tidak sah terhadap Proxmox Management Interface menggunakan akun pengguna yang masih aktif, termasuk dalam kondisi tertentu akun dengan hak istimewa tinggi seperti root@pam. Kompromi terhadap management interface dapat berdampak terhadap kerahasiaan, integritas, dan ketersediaan seluruh lingkungan virtualisasi yang dikelola.

Ikhtisar

CVE-2023-54391 merupakan kerentanan Authentication Bypass pada komponen libpve-access-control Proxmox VE. Kerentanan terjadi karena parameter tfa-challenge pada endpoint API login tidak divalidasi dengan benar.

Kondisi tersebut dapat memungkinkan penyerang yang tidak terautentikasi melewati proses verifikasi dan memperoleh akses menggunakan akun pengguna yang masih aktif serta tidak memiliki faktor autentikasi kedua yang dikonfigurasi. Dalam kondisi tertentu, skenario ini juga dapat berdampak terhadap akun dengan hak istimewa tinggi seperti root@pam.

Hal yang perlu diperhatikan adalah penentuan apakah suatu sistem terdampak tidak cukup hanya berdasarkan versi Proxmox VE. Status kerentanan harus ditentukan berdasarkan versi package libpve-access-control yang terpasang pada masing-masing host.

Dampak

Eksploitasi yang berhasil dapat memberikan konsekuensi sebagai berikut:

• Melewati mekanisme autentikasi pada Proxmox Management Interface.
• Memperoleh akses menggunakan akun pengguna yang masih aktif apabila memenuhi kondisi eksploitasi.
• Potensi memperoleh akses menggunakan akun dengan hak istimewa tinggi, termasuk root@pam, apabila memenuhi kondisi eksploitasi.
• Melakukan akses tidak sah terhadap lingkungan virtualisasi Proxmox VE.
• Berpotensi menyebabkan kompromi terhadap kerahasiaan, integritas, dan ketersediaan lingkungan virtualisasi.
• Berpotensi memberikan dampak lanjutan terhadap mesin virtual dan layanan yang dikelola melalui Proxmox Management Interface.

Potensi dampak terhadap lingkungan virtualisasi menjadi serius karena management interface merupakan komponen utama dalam administrasi host Proxmox VE.

Sistem yang Terdampak

Seluruh host Proxmox VE perlu diperiksa untuk memastikan versi package libpve-access-control yang terpasang. Sistem dengan package versi di bawah 8.0.4 termasuk dalam kondisi terdampak, sedangkan versi 8.0.4 atau lebih baru telah diperbaiki.

Detail Teknis

Kerentanan CVE-2023-54391 berkaitan dengan mekanisme autentikasi pada Proxmox VE, khususnya endpoint API login. Kerentanan terjadi karena parameter tfa-challenge tidak divalidasi dengan benar pada proses verifikasi autentikasi.

Penyerang yang belum terautentikasi dapat memanfaatkan kondisi tersebut untuk melewati proses verifikasi autentikasi. Apabila terdapat akun pengguna yang masih aktif dan tidak memiliki faktor autentikasi kedua yang dikonfigurasi, penyerang berpotensi memperoleh akses menggunakan akun tersebut. Dalam kondisi tertentu, dampak juga dapat mencakup akun dengan hak istimewa seperti root@pam.

Kerentanan ini memiliki tingkat risiko Critical dengan CVSS v3.1 sebesar 9.8 dan CVSS v4.0 sebesar 9.3. Tingginya skor tersebut menunjukkan bahwa kerentanan perlu menjadi prioritas, khususnya pada host Proxmox yang management interface-nya dapat diakses dari jaringan yang tidak sepenuhnya terpercaya.

Selain melakukan patching, pengelola perlu memperhatikan lokasi dan eksposur Proxmox Management Interface. Akses terhadap TCP port 8006 sebaiknya hanya tersedia dari jaringan administrasi atau management network yang terpercaya dan tidak diekspos langsung ke Internet.

Rekomendasi

• Segera perbarui libpve-access-control ke versi 8.0.4 atau lebih baru pada seluruh host Proxmox VE.
• Verifikasi versi package pada setiap host Proxmox dan identifikasi host yang masih menggunakan versi terdampak.
• Batasi akses TCP/8006 hanya dari jaringan administrasi lokal atau management network yang terpercaya.
• Hindari mengekspos Proxmox Management Interface secara langsung ke Internet.
• Terapkan firewall atau ACL untuk membatasi alamat IP yang diperbolehkan mengakses management interface Proxmox.
• Aktifkan Two-Factor Authentication (TFA), terutama pada akun dengan hak akses privileged, serta lakukan peninjauan akun dan hak akses secara berkala.
• Audit log dan aktivitas autentikasi, termasuk login, authentication ticket, akun, permission, serta perubahan konfigurasi untuk menemukan indikasi akses tidak sah.
• Pastikan komunikasi administrasi menggunakan HTTPS dengan sertifikat yang valid dan amankan jalur akses menuju management interface.
• Setelah patching, restart service terkait dan lakukan invalidasi sesi atau ticket aktif untuk mengurangi risiko penyalahgunaan sesi yang mungkin telah diperoleh sebelumnya.
• Apabila host sebelumnya dapat diakses dari Internet, prioritaskan investigasi dan pemeriksaan indikasi kompromi sebelum sistem dikembalikan ke kondisi operasional normal.

Perangkat Daerah yang menggunakan Proxmox VE dan membutuhkan pendampingan teknis terkait pemeriksaan package, pembaruan, hardening, maupun pemeriksaan indikasi kompromi dapat menghubungi Banda Aceh-CSIRT melalui kanal pelaporan resmi.

Referensi

• Gov-CSIRT Indonesia — Security Advisory: Kerentanan Critical Authentication Bypass pada Proxmox VE CVE-2023-54391
• CISA — Cybersecurity Advisory AA26-097A
• Id-SIRTII — Notifikasi Proaktif: Laporan Analisis Insiden Serangan Siber pada Pengelolaan Air Minnesota dan Potensi Dampak di Indonesia

Catatan: Artikel ini disusun berdasarkan Security Advisory Gov-CSIRT Indonesia yang diterbitkan pada 11 September 2026.