El pedaç d'SDN de Proxmox demana permisos nous: actualitza i algú rep un 403

Entre els quinze avisos de seguretat que Proxmox va publicar del 10 al 12 de novembre n'hi ha un que no es comporta com un pedaç. El PSA-2026-00092-1 corregeix comprovacions d'ACL que faltaven a l'API d'SDN i, de passada, exigeix privilegis que abans no exigia. Ho diu el mateix avís: «it was not, but is now required to have the SDN.Use or SDN.Allocate privilege on DNS and IPAM plugins, controllers, fabrics, route maps and prefix lists for referencing them in zones, controllers, fabrics and route maps». Si tens la gestió d'SDN repartida entre diverses persones, en actualitzar libpve-network-api-perl a 1.6.8 algú que ahir creava subxarxes sense problema rebrà un rebuig per permisos.

L'avís fins i tot et diu on mirar: «users who manage zones may need this privilege added, for example on '/sdn/ipams/pve' for the default IPAM». Aquesta frase, dins d'una nota de seguretat de quatre paràgrafs, és la diferència entre una actualització de dimarts a la nit i un matí de trucades preguntant per què la xarxa de la màquina nova no es deixa crear.

Què arregla i què endureix

La part de correcció són quatre errors d'autorització ben concrets, reportats en privat per Geoffrey McClinsey. El paràmetre de zona de l'IPAM es validava contra l'àmbit equivocat. Les subxarxes no es comprovaven contra la VNet pare a la qual pertanyen. Moure una VNet d'una zona a una altra no validava els permisos sobre la zona destí. I les consultes a la configuració —l'activa i la pendent— es comprovaven contra la configuració actual, que pot contenir entitats diferents de les que estàs consultant. A això s'hi suma que els missatges d'error revelaven si un recurs existia encara que l'usuari no hi tingués accés.

Tot això és feina de tancar portes i no canvia res del que avui funciona. L'enduriment sí. Els objectes que esmenta la cita —connectors de DNS i IPAM, controladors, fabrics, mapes de rutes i llistes de prefixos— són peces que es referencien des d'una zona o un controlador; abans n'hi havia prou amb tenir permís sobre la zona, i ara cal a més SDN.Use o SDN.Allocate sobre la peça referenciada. El cas que es donarà a més llocs és el més ximple de tots: l'IPAM per defecte, a /sdn/ipams/pve, que gairebé ningú no ha concedit explícitament a ningú perquè no va caldre mai.

Això va amb finestra, no a la desatesa

L'ordre que seguim quan un pedaç porta un canvi de contracte és sempre el mateix. Primer, saber qui té avui permisos sota rutes /sdn/, que es contesta amb pveum acl list sense modificar res. Segon, decidir sobre quins objectes concrets caldrà SDN.Use —començant per l'IPAM que facis servir de debò— i deixar escrites aquelles entrades d'ACL abans de tocar el paquet, no després. Tercer, avisar qui tingui zones delegades que hi haurà una estona en què pot veure un rebuig, perquè el pitjor desenllaç d'aquest avís no és el rebuig: és que algú ho interpreti com que el clúster s'ha trencat i comenci a desfer coses. I quart, comprovar després que el que funcionava continua funcionant, en comptes de donar per bona la sortida del gestor de paquets.

Els estudis sobre caigudes de grans serveis d'internet fa més de vint anys que col·loquen els canvis de configuració dels operadors al primer lloc de les causes d'avaria greu, amb el maquinari explicant entre un 10 i un 25 % (Oppenheimer, Ganapathi i Patterson, USITS 2003). Un pedaç de seguretat és un canvi de configuració, i un que altera qui pot cridar què ho és dues vegades. Al checklist que apliquem a cada clúster en producció l'apartat de tokens de privilegi mínim existeix per això mateix: com més fina tens la delegació, més cara et surt la lletra petita d'una actualització que ningú no va llegir.

De la resta de la tongada, el de Backup Server va primer

Els altres catorze avisos van del 00086 al 00100 i es reparteixen entre Virtual Environment, Backup Server, Mail Gateway i Datacenter Manager, amb dos que toquen diversos productes alhora. Si cal ordenar la cua, nosaltres posem davant el PSA-2026-00086-1 de Proxmox Backup Server, que no té ni CVE ni puntuació. Un usuari amb només Datastore.Backup podia crear instantànies falses en un grup seu, i les tasques de poda executades pel seu compte «would treat such bogus snapshots as legitimate». Combinant les dues coses es podien podar totes les instantànies legítimes del grup, «thwarting the ransomware protection guards usually associated with only giving "Datastore.Backup" privileges to a user/token». Es corregeix a proxmox-backup-server 4.2.9-1.

Aquest ordre no surt de la gravetat, surt de a qui li toca. Datastore.Backup és el permís que dones al token del clúster precisament perquè pugui escriure còpies i no pugui esborrar-les, així que el forat se'l menja qui va restringir bé el token i no qui el va deixar d'administrador. Al darrere hi van el PSA-2026-00088-1 —injecció d'ordres pel nom d'un volum, que amb Datastore.AllocateSpace sobre un emmagatzematge ZFS-over-iSCSI s'executa com a root a la cabina, i amb VM.Migrate a més a l'amfitrió destí d'una migració; libpve-guest-common-perl 6.0.7, libpve-storage-perl 9.1.15, qemu-server 9.2.15— i el PSA-2026-00095-1, que permetia a qui podia reconfigurar la NIC d'un contenidor enganxar-lo a un pont o VNet que no li corresponia (pve-container 6.1.17).

Els dos que no encaixen

Llegint la tongada seguida és fàcil convèncer-se que tot passa per un privilegi que algú va concedir. Convé no fer-ho, perquè hi ha dos avisos que no van per aquí. El PSA-2026-00100-1, publicat el 12, diu que «missing shell quoting while handling transfer failures during file upload handling could allow an attacker to execute arbitrary commands as root on the PVE node»: root al node, no a la cabina, i l'avís no publica quins privilegis calen per arribar-hi. Es corregeix a libpve-storage-perl 9.1.15, el mateix paquet que tanca la meitat del 00088, així que qui actualitzi pel 00088 s'emporta aquest de regal sense saber-ho —i qui no, es queda sense tots dos—.

L'altre és el PSA-2026-00089-1, a libpve-http-server-perl 6.0.6, que afecta tant Virtual Environment com Mail Gateway. El que endureix és per sota de qualsevol model de permisos: ara es rebutgen les peticions amb capçaleres Content-Length, Host o Cookie duplicades, es deixa de mapar el guió baix a guió als noms de capçalera i es rebutgen les cadenes de consulta excessivament llargues; també es va arreglar l'escriptura concurrent del registre d'accés i la injecció de valors sense escapar a les seves línies. Les capçaleres duplicades les va reportar en privat l'Apo, de CSB Raccoon Labs. És la capa que atén la petició abans de saber qui ets, i per això no cap en el mateix raonament que la resta.

Quan això NO et corre pressa

Si no tens SDN configurat, l'avís del qual va aquest post no et toca gens, i dir-ho ens treu feina facturable. En un clúster amb un sol administrador, sense ZFS-over-iSCSI i que no descarrega plantilles OCI de catàlegs públics, els quinze caben a la finestra de manteniment normal: cap no figura avui al catàleg de vulnerabilitats explotades de CISA ni porta indicació d'explotació activa, i catorze dels quinze ni tan sols tenen CVE. L'excepció és Mail Gateway. El PSA-2026-00091-1 arrossega deu CVE de la llibreria de tercers libmime-tools-perl —del CVE-2026-116264 al CVE-2026-116273, quatre d'ells a 7,5, un a 7,0 i cinc a 5,3— i allà qui ataca no necessita cap privilegi, perquè és qualsevol que t'enviï un correu. Si tens PMG al perímetre, aquell puja al començament de la cua.

I el que no sabem, dit abans que ens ho pregunten: dels quinze n'hem llegit la fitxa completa de dotze. De tres només en tenim el titular i el producte, no el paquet corregit: el PSA-2026-00097-1 (SSRF autenticat via URL de directori ACME) i el PSA-2026-00098-1 (comprovacions de privilegi incompletes en sincronitzar usuaris de regnes externs), tots dos de Datacenter Manager, i el PSA-2026-00099-1 (validació incompleta de l'UPID en atendre peticions d'aturada de tasca), que el llistat marca com de diversos productes —així que si el dones per «cosa de PDM» te'l pots estar saltant al clúster—. Els tres títols encaixen sospitosament bé amb el que explica aquest post, i per això no els fem servir com a prova de res.

El que queda quan passi la tongada

Un avís que t'obliga a concedir un permís nou només et molesta si has repartit permisos. En un clúster on tothom entra amb root@pam —l'administrador, el programador que necessitava una màquina de proves, l'script de còpies, el proveïdor que va entrar a mirar alguna cosa un dimarts— aquesta actualització no trenca res, i cap dels tres avisos de la tongada que anomenen un privilegi concret no hi aplica. No perquè estiguis protegit: perquè un error en una comprovació de privilegis necessita que existeixi la comprovació. Allà l'informe de pedaços surt net i la credencial que es filtri un dia arriba directament al final del camí.

Reconstruir aquesta taula quan no existeix és una tarda de feina que mai no hi ha, i ja vam explicar com es fa i per on es torça quan vam escriure que els permisos no viatgen de vSphere a Proxmox. El que hi afegeix aquesta setmana és la factura: sense aquella taula no hi ha manera de contestar si el pedaç d'SDN et deixarà algú fora, ni de decidir en quin ordre tocar quatre productes. És la part menys agraïda de gestionar infraestructura virtualitzada en producció, i la que decideix si la propera tongada és una tarda o una setmana. No venem llicències de Proxmox ni de ningú: el que entreguem és la taula.

Fonts (verificades el 14-nov-2026, 09:40 CET). El rang complet PSA-2026-00086 a PSA-2026-00100, amb dates 10 i 12 de novembre de 2026 i repartiment per producte, al llistat d'avisos de Proxmox de vulnipulse.com. Text literal i paquets corregits, de les fitxes reproduïdes a PSA-2026-00092-1 (els quatre errors d'ACL, les dues cites del requisit nou i del /sdn/ipams/pve, i el reporte privat de Geoffrey McClinsey), PSA-2026-00086-1 (les dues cites sobre la poda i els «ransomware protection guards»), PSA-2026-00088-1, PSA-2026-00089-1, PSA-2026-00090-1, PSA-2026-00091-1 (els deu CVE i la seva puntuació una per una), PSA-2026-00093-1, PSA-2026-00094-1, PSA-2026-00095-1, PSA-2026-00096-1, PSA-2026-00087-1 i PSA-2026-00100-1 (la cita del root al node). Nota d'honestedat sobre les fonts: el canal oficial és el fil d'avisos de seguretat del fòrum de Proxmox i no hem aconseguit obrir la pàgina d'aquell fil on són aquests quinze; el que citem entre cometes ve de les reproduccions enllaçades, corroborades per un segon agregador independent. Si alguna dada no quadra amb l'avís oficial, mana l'oficial. pveum acl list («Get Access Control List (ACLs)»), al manual pveum(1). La causa núm. 1 de les caigudes greus, a Oppenheimer, Ganapathi i Patterson, USITS 2003. KEV comprovat contra el catàleg de CISA. Nostre és l'enquadrament —el 00092 és un canvi de contracte de permisos i no només un pedaç—, l'ordre de quatre passos per aplicar-lo, la raó per posar PBS primer i l'advertiment sobre els dos avisos que no encaixen en aquesta lectura.