KUTIM-CSIRT mengimbau seluruh Perangkat Daerah di lingkungan Pemerintah Kabupaten Kutai Timur yang mengelola Proxmox Virtual Environment (Proxmox VE) untuk memeriksa versi yang dipakai dan menindaklanjuti CVE-2023-54391, kerentanan authentication bypass berskor CVSS 9,3 (Critical) pada mekanisme login berfaktor ganda.

Ikhtisar

CVE-2023-54391 adalah kerentanan authentication bypass (CWE-304, missing critical step in authentication) pada paket libpve-access-control, dengan vektor CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. Pada endpoint API login, parameter tfa-challenge tidak divalidasi untuk pengguna yang belum memiliki faktor kedua (2FA). Selain itu, kehadiran parameter tersebut menyebabkan pemeriksaan kata sandi dilewati. Penyerang tanpa autentikasi dapat masuk sebagai pengguna aktif yang tidak memakai 2FA, termasuk akun root@pam.

Pengumuman keamanan Proxmox mencatat bahwa perbaikannya sudah dirilis pada Juli 2023 (paket 8.0.4), namun semua rilis yang terdampak sudah berstatus akhir masa dukungan (end of life, EOL).

Dampak

• Penyerang yang dapat menjangkau API Proxmox (port 8006) dapat masuk sebagai root@pam atau pengguna lain yang tidak memakai 2FA, tanpa mengetahui kata sandi.
• Akses administrator Proxmox berarti kendali atas seluruh mesin virtual dan penyimpanannya: membaca data, mematikan atau menghapus VM, serta memasang VM berbahaya.
• Vektor VC:H/VI:H/VA:H menunjukkan kerahasiaan, integritas, dan ketersediaan terdampak penuh.

Sistem yang Terdampak

Pengguna Proxmox VE 8.0 yang sudah diperbarui secara berkala umumnya sudah memakai paket 8.0.4 atau lebih baru; tetap verifikasi nomor paketnya.

Detail Teknis

Alur login Proxmox memverifikasi kata sandi lalu, bila pengguna memiliki 2FA, menuntut jawaban tantangan faktor kedua. Pada versi terdampak, bila permintaan login menyertakan tfa-challenge, kode memperlakukannya sebagai tahap lanjutan dan tidak lagi memeriksa kata sandi. Karena pengguna tanpa 2FA tidak memiliki tantangan untuk dicocokkan, nilai apa pun diterima. Akun yang sudah memakai 2FA tidak dapat dilewati dengan cara ini.

Eksploitasi hanya memerlukan satu permintaan HTTP ke API. Rincian permintaan tidak kami muat.

Rekomendasi

1. Periksa versi Proxmox VE dan versi paket libpve-access-control di setiap node (perintah pveversion -v).
2. Segera upgrade ke Proxmox VE yang masih didukung. Seluruh rilis terdampak sudah EOL dan tidak lagi menerima pembaruan keamanan rutin; pastikan libpve-access-control 8.0.4 atau lebih baru.
3. Batasi akses API port 8006 hanya dari jaringan manajemen tepercaya, dan jangan mengekspos antarmuka pengelolaan Proxmox langsung ke internet.
4. Aktifkan 2FA pada semua akun berhak akses tinggi, terutama root@pam, karena akun ber-2FA tidak dapat dilewati dengan celah ini.
5. Tinjau log autentikasi dan log akses API untuk login yang tidak wajar, terutama login berhasil tanpa kata sandi dari alamat yang tidak dikenal.
6. Bila ada indikasi akses tidak sah, periksa VM baru, pengguna atau token API baru, dan perubahan konfigurasi.
7. Laporkan ke KUTIM-CSIRT melalui kanal pelaporan resmi apabila ditemukan indikasi penyusupan.

Catatan Status Eksploitasi

CVE-2023-54391 belum tercatat di katalog KEV CISA per 19 September 2026. Kerentanan ini mudah dipicu, tanpa autentikasi dan hanya lewat satu permintaan API, sehingga setiap Proxmox VE lama yang antarmukanya terjangkau dari jaringan luas perlu diperlakukan sebagai berisiko tinggi.

Referensi

• BSSN/Id-SIRTII – Security Advisory Kerentanan pada Proxmox (CVE-2023-54391) (edaran sumber)
• NVD – CVE-2023-54391
• Proxmox – Security Advisories (PSA-2026-00043-1)