Möglicher Bug im Webinterface beim Aufruf von /pve-docs

[Choppel]

Wenn ich mich am PVE Webinterface nicht anmelde, kann ich trotzdem die Dokumentation unter z.B. https://1.2.3.4:8006/pve-docs/index.html aufrufen. Dies wäre an sich nicht wild, es ist ja die offizielle Dokumentation. Aber es wird oben die Versionsnummer meiner PVE Installation angezeigt und das ist u.U. nicht gut, da es Angreifern erleichtert, mögliche Schwachstellen meines Systems auszunutzen.
Am besten sollte die Dokumentation nur erreichbar sein, wenn man angemeldet ist.

 

[fiona]

Hi,
bitte einen Request im Bugzilla aufmachen, damit das nicht in den Untiefen des Forums verlorengeht: https://bugzilla.proxmox.com/

 

[Falk R.]

Wenn ich mich am PVE Webinterface nicht anmelde, kann ich trotzdem die Dokumentation unter z.B. https://1.2.3.4:8006/pve-docs/index.html aufrufen. Dies wäre an sich nicht wild, es ist ja die offizielle Dokumentation. Aber es wird oben die Versionsnummer meiner PVE Installation angezeigt

Die Doku zeigt die Version der Doku an, was ja eigentlich richtig ist.

und das ist u.U. nicht gut, da es Angreifern erleichtert, mögliche Schwachstellen meines Systems auszunutzen.

Deshalb am besten immer zeitnah patchen.

Am besten sollte die Dokumentation nur erreichbar sein, wenn man angemeldet ist.

Vermutlich die einfachste Option

 

[sb-jw]

Wenn du Sicherheitsbedenken hast, frage ich mich eher, warum ist die GUI vom Internet aus erreichbar? Aus meiner Sicht ist das bereits der erste Fehler und auch das größere Problem.

 

[Choppel]

Hi,
bitte einen Request im Bugzilla aufmachen, damit das nicht in den Untiefen des Forums verlorengeht: https://bugzilla.proxmox.com/

Habe ein entsprechendes Request im Bugtracker erstellt.

 

[Choppel]

Laut Bugtracker ist die Versionsnummer sowieso auslesbar über die JS und CSS Dateien für den Loginbildschirm. Damit diese nicht vom Browser gecacht werden, werden sie mit der Versionsnummer versehen. Man hat also eh immer die Möglichkeit die Versionsnummer herauszufinden.

siehe https://bugzilla.proxmox.com/show_bug.cgi?id=5179

 

[Falk R.]

Ich verstehe auch nicht warum das so kritisch sein soll. Wer an deinen Host/Cluster kommt, der darf auch Wissen was da läuft.
Und falls man einen Host direkt im Internet betreibt ohne extra Firewall davor, patcht sowieso ganz oft und nutzt eh MFA für GUI und CLI.