Am 1. September hat Proxmox eine Sicherheitsmeldung veröffentlicht. Sie beschreibt, wie ein Fremder sich an der Verwaltungsoberfläche ohne Passwort anmelden kann — bis hinauf zum Vollzugriff.
Ungewöhnlich daran ist nicht der Fehler. Ungewöhnlich ist seine Geschichte.
Ein Fix aus dem Jahr 2023
Die Schwachstelle trägt die Kennung CVE-2023-54391. Die Jahreszahl stimmt: Der fehlerhafte Code wurde im Juli 2023 entfernt.
Nur wusste das damals niemand.
Proxmox baute in jenem Sommer die Zweifaktor-Anmeldung um — eine gewöhnliche Aufräumarbeit. Dabei verschwand nebenbei die Stelle, über die man sich vorbeimogeln konnte. Weil die Änderung nicht als Sicherheitskorrektur erkannt wurde, lief der übliche Ablauf nicht an: Sie wurde nicht auf die ältere Versionslinie zurückportiert.
Diese ältere Linie war zu dem Zeitpunkt noch in Pflege. Der Fehler hätte also behoben werden können und wäre behoben worden — wenn jemand gemerkt hätte, worum es sich handelte.
Drei Jahre später fiel es auf. Da waren alle betroffenen Fassungen längst am Ende ihres Supports, ein Patch also nicht mehr vorgesehen. Inzwischen ist eine Anleitung zum Ausnutzen öffentlich, und Proxmox bestätigt laufende Angriffe.
Wie der Angriff funktioniert
Es lohnt sich, das kurz anzusehen, weil es zeigt, wie unspektakulär solche Fehler sind.
Die Anmeldung läuft in zwei Schritten: erst Passwort, dann der zweite Faktor. Der Code prüfte eine Anfrage, die direkt den zweiten Schritt anforderte, so als hätte der erste bereits stattgefunden. Wer also gleich mit dem zweiten Schritt anklopfte, wurde behandelt wie jemand, der sein Passwort schon vorgezeigt hatte.
Bei Konten mit eingerichtetem zweitem Faktor lief das ins Leere — es kam ja die Abfrage. Bei Konten ohne zweiten Faktor gab es nichts mehr zu prüfen, und es entstand eine gültige Sitzung ohne jede Anmeldung.
Damit steht die Ironie fest: Der Fehler steckte im Zweifaktor-Code, und geschützt war, wer den zweiten Faktor benutzte. Wer ihn nicht eingerichtet hatte — bei internen Verwaltungsoberflächen der Normalfall —, stand offen.
Warum das mehr ist als eine Proxmox-Meldung
Die naheliegende Lehre wäre: veraltete Systeme, selber schuld. Sie greift zu kurz, und zwar an einer Stelle, die jeden betrifft.
Wir alle arbeiten mit einer stillen Annahme: Der Hersteller weiss, was er repariert. Auf dieser Annahme ruht der ganze Ablauf. Ein Fehler wird gemeldet, als Sicherheitsproblem erkannt, behoben, auf die gepflegten Zweige zurückportiert, als Update ausgeliefert. Wer die Updates einspielt, ist versorgt.
Dieser Fall zeigt, wo die Kette reisst. Sie hängt am ersten Glied — daran, dass jemand einen Fix als Sicherheitsfix erkennt. Passiert das nicht, ist die Lücke im aktuellen Zweig zu, im alten offen, und niemand erfährt davon. Nicht aus Nachlässigkeit, sondern weil es keinen Anlass gab hinzusehen.
Damit ist «wir sind auf dem aktuellen Stand» eine schwächere Zusage, als sie klingt. Sie heisst: alles eingespielt, was der Hersteller als Update ausgeliefert hat. Sie heisst nicht: keine bekannten Lücken.
Was daraus folgt
Nicht Misstrauen gegen Updates — die bleiben die wirksamste Einzelmassnahme, die es gibt. Sondern die Einsicht, dass Aktualität allein nicht trägt.
Verwaltungsoberflächen gehören nicht ins offene Internet. Das ist die Massnahme, die in diesem Fall alles verhindert hätte, unabhängig von Versionsstand und Kenntnis der Lücke. Ein Proxmox-Zugang, eine Firewall-Verwaltung, ein NAS-Panel — all das gehört hinter ein VPN oder auf die eigenen Adressen beschränkt. Wer nur intern zugreift, soll auch nur intern erreichbar sein.
Der zweite Faktor wirkt auch dort, wo man ihn nicht erwartet. In diesem Fall hat er einen Fehler abgefangen, der mit ihm gar nichts zu tun zu haben schien. Genau das ist der Sinn gestaffelter Massnahmen: Sie wirken auch gegen das, wofür sie nicht gedacht waren.
Und bei Systemen ausserhalb der Pflege gilt keine Ausnahme. Wir haben das beim Supportende von Office 2021 beschrieben, und hier zeigt es sich noch einmal schärfer: Bei einem abgelaufenen System ist nicht nur offen, was heute bekannt ist. Offen ist auch alles, was drei Jahre lang unbemerkt behoben wurde.
Wenn Sie Proxmox einsetzen
Nachsehen, welche Fassung läuft — betroffen sind die Linie 7 und die allererste 8.0. Wer eine unterstützte Fassung fährt, ist nicht betroffen.
Wer auf einer alten Linie steht: Zugang zur Oberfläche sofort auf vertrauenswürdige Netze beschränken, dann die Anmeldeprotokolle durchsehen und die Zugangsdaten der Verwaltungskonten wechseln. Der Wechsel auf eine gepflegte Fassung ist die einzige dauerhafte Lösung.
Diese Reihenfolge ist bewusst so: Zuerst die Tür zu, dann nachsehen, wer da war, dann in Ruhe umziehen.