CVE-2026-119566
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Prometheus w wersjach do 3.15.1 zawiera podatność na wyciek poświadczeń, która pozwala atakującym przechwycić tokeny bearer Azure AD lub Google IAM poprzez przekierowanie żądań remote_write do innego hosta. Atakujący kontrolujący punkt końcowy remote-write lub serwer przekierowujący może zwrócić 3xx do swojego hosta i odtworzyć token, na przykład aby zapisywać metryki w backendzie ofiary.
Ocena ryzyka
Atakujący może uzyskać tokeny uwierzytelniające do usług chmurowych (Azure AD, Google IAM) i wykorzystać je do nieautoryzowanego dostępu do zasobów ofiary. Może to prowadzić do naruszenia danych i nieautoryzowanych operacji w chmurze.
Rekomendacja
Zaktualizuj Prometheus do wersji nowszej niż 3.15.1. Skonfiguruj remote_write wyłącznie do zaufanych punktów końcowych i rozważ ograniczenie przekierowań HTTP.
Inne podatności w Prometheus
Zobacz wszystkie- CVE-2026-40179Średnie
Prometheus w wersjach 3.0–3.5.1 oraz 3.6.0–3.11.1 zawiera podatności typu stored XSS w interfejsie webowym, gdzie nazwy metryk i wartości etykiet są wstrzykiwane do innerHTML bez escapowania. Ponieważ Prometheus v3.x domyślnie dopuszcza znaki <, > i " w nazwach metryk i etykiet (walidacja UTF-8), atakujący może wstrzyknąć złośliwe metryki przez przejęty cel scrapowania, remote write lub odbiornik OTLP i wykonać dowolny JavaScript w przeglądarce użytkownika przeglądającego metrykę w Graph UI. Podatność naprawiono w wersjach 3.5.2 i 3.11.2.
- CVE-2026-44903Średnie
Prometheus od wersji 2.49.0 do 3.5.3 i 3.11.3 zawiera podatność XSS w legacy web UI (włączanym flagą --enable-feature=old-ui). W widoku histogramu heatmap wartości etykiet 'le' nie są odpowiednio escapowane, co pozwala atakującemu wstrzyknąć JavaScript przez spreparowane metryki.
- CVE-2026-42154Wysokie
Prometheus przed wersjami 3.5.3 i 3.11.3 nie sprawdza zadeklarowanej długości danych w skompresowanym żądaniu do endpointu /api/v1/read przed alokacją pamięci. Nieuwierzytelniony atakujący może wysłać mały pakiet powodujący ogromną alokację pamięci, co przy równoczesnych żądaniach może wyczerpać dostępną pamięć i doprowadzić do awarii procesu Prometheus.
- CVE-2026-42151Wysokie
Prometheus przed wersjami 3.5.3 i 3.11.3 przechowuje pole client_secret w konfiguracji OAuth Azure AD jako zwykły string zamiast jako Secret. Powoduje to, że sekret klienta Azure OAuth jest ujawniany w postaci jawnego tekstu każdemu użytkownikowi lub procesowi mającemu dostęp do punktu końcowego /-/config.
Oryginalny opis (angielski, źródło NVD)
Prometheus through 3.15.1 contains a credential leak vulnerability that allows attackers to capture Azure AD or Google IAM bearer tokens by redirecting remote_write requests to another host. Attackers controlling the remote-write endpoint or a redirecting server can return a 3xx to their host and replay the token, for example to write metrics to the victim's backend.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS