Proxmox VE 7: scansioni e brute force sfruttano un buco nei log

Un endpoint di autenticazione in Proxmox VE 7 risponde con HTTP 200 anche quando il login fallisce. Per chi monitora solo i codici 401, l'attacco non lascia traccia. Secondo un resoconto del SANS Internet Storm Center, basato su log honeypot, questa struttura tecnica alimenta una campagna di brute force rilevata in coincidenza con un advisory su vulnerabilità in versioni obsolete del software.

I dati: cosa documenta la fonte

Johannes B. Ullrich, Dean of Research presso SANS.edu, ha pubblicato un resoconto tecnico sul SANS Internet Storm Center. I sensori della rete honeypot hanno rilevato un aumento di scansioni sulla porta 8006 e traffico di brute force aggiuntivo contro endpoint di autenticazione Proxmox. La fonte non specifica la data di pubblicazione del report.

I log mostrano timestamp 09/09/2026 15:26:14 +0000 per il primo evento rilevante. L'IP 62.60.130.193 ha generato richieste POST ripetute a /api2/json/access/ticket, con risposte 401 e 308 in alternanza. Il codice 308, definito in RFC 7538, indica redirect permanente che preserva il metodo POST: a differenza del 301, il client deve ripetere la richiesta con lo stesso metodo e lo stesso body.

Sullo stesso target, l'endpoint /api2/extjs/access/ticket restituisce sempre codice 200 indipendentemente dall'esito dell'autenticazione. La fonte indica che una dimensione payload di 77 byte segnala il fallimento del login.

"A return payload size of 77 bytes should indicate failure." — Johannes B. Ullrich, SANS Internet Storm Center

La fonte non documenta compromissioni effettive, né identifica l'entità dietro l'IP 62.60.130.193. Non fornisce identificatore CVE, exploit pubblico o sottoversione esatta di Proxmox VE 7 affetta. L'ampiezza geografica e la scala totale delle scansioni non sono quantificate.

Il problema: due endpoint, due comportamenti

La campagna documentata colpisce simultaneamente due endpoint di autenticazione con caratteristiche tecniche diverse. Su /api2/json/access/ticket, l'attaccante riceve feedback esplicito: 401 per credenziali errate, 308 per redirect. Questo pattern permette di distinguere tentativi falliti da eventuali successi.

Su /api2/extjs/access/ticket, la situazione si inverte. Il codice 200 uniforme elimina il segnale visibile: un sistema di detection configurato per allarmare su sequenze di 401 non rileverà nulla. L'unico indicatore residuo è la dimensione del payload, 77 byte per il fallimento.

La fonte non specifica se questa metrica sia accessibile nei sistemi di monitoraggio standard. Non indica configurazioni di logging lato Proxmox che espongano l'esito reale indipendentemente dal codice HTTP. L'osservazione sul 308 si limita alla proprietà tecnica del codice; la fonte non confronta questo comportamento con 301 o 302 né afferma che altri codici interromperebbero l'attacco.

Il contesto: advisory e versioni obsolete

Il resoconto SANS ISC collega l'attività rilevata a un advisory Proxmox pubblicato circa una settimana prima. La vulnerabilità citata interessa esclusivamente Proxmox VE versione 7, fuori supporto da "a couple of years".

"About a week ago, Proxmox published an advisory revealing a vulnerability in older versions of Proxmox VE, its flagship Virtual Environment product. The vulnerability only affects version 7, which has not been supported for a couple of years now." — Johannes B. Ullrich, SANS Internet Storm Center

La versione 8 e le release supportate non sono interessate secondo quanto riportato. Per chi mantiene installazioni Proxmox VE 7, lo stato di end-of-life significa assenza di patch di sicurezza dal vendor.

Cosa fare adesso

Per gli operatori con istanze Proxmox VE 7 esposte, il resoconto SANS ISC suggerisce un'azione di verifica specifica: controllare se i sistemi di monitoraggio registrano la dimensione payload di 77 byte sull'endpoint /api2/extjs/access/ticket. Chi filtra solo su codici HTTP 401 rischia di non rilevare tentativi di brute force su questo percorso.

Per le installazioni su versioni supportate, la fonte esclude l'impatto della vulnerabilità citata. La raccomandazione implicita è la migrazione dalla versione 7, già fuori supporto. La fonte non documenta misure correttive aggiuntive né fornisce pattern di detection alternativi oltre al payload di 77 byte.

Cosa sappiamo e cosa non sappiamo

Dati verificati: un resoconto SANS ISC documenta log di brute force con pattern 401/308 su /api2/json/access/ticket e comportamento 200/77-byte su /api2/extjs/access/ticket. L'advisory Proxmox è di circa una settimana prima del rilevamento. La versione 7 è fuori supporto da "a couple of years". L'IP 62.60.130.193 è l'unica origine documentata nei log mostrati.

Limiti verificati: la data esatta di pubblicazione del report SANS non è dichiarata. L'identità dell'attaccante è sconosciuta. Non è documentato se esista un exploit pubblico o se le scansioni abbiano portato a compromissioni. La scala totale dell'attività non è quantificata. Non è verificato se altri endpoint o versioni mostrino lo stesso comportamento 200.

I limiti del resoconto

I dati si fondano su un'unica fonte primaria non corroborata da fonti indipendenti. Non è stato possibile verificare autonomamente i log né l'advisory Proxmox citato. La data 9 settembre 2026 si riferisce al timestamp nei log, non a una data di pubblicazione confermata del report. Nessuna entità è stata identificata dietro l'IP 62.60.130.193. La fonte non usa termini come "mascheramento", "evasione" o "logica opportunistica": queste sono interpretazioni non documentate nel resoconto originale.

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti

• https://isc.sans.edu/diary/rss/33324
• https://sans.edu/
• https://jbu.me/164