Podatności Prometheus

Prometheus od wersji 2.49.0 do 3.5.3 i 3.11.3 zawiera podatność XSS w legacy web UI (włączanym flagą --enable-feature=old-ui). W widoku histogramu heatmap wartości etykiet 'le' nie są odpowiednio escapowane, co pozwala atakującemu wstrzyknąć JavaScript przez spreparowane metryki.

Prometheus przed wersjami 3.5.3 i 3.11.3 nie sprawdza zadeklarowanej długości danych w skompresowanym żądaniu do endpointu /api/v1/read przed alokacją pamięci. Nieuwierzytelniony atakujący może wysłać mały pakiet powodujący ogromną alokację pamięci, co przy równoczesnych żądaniach może wyczerpać dostępną pamięć i doprowadzić do awarii procesu Prometheus.

Prometheus przed wersjami 3.5.3 i 3.11.3 przechowuje pole client_secret w konfiguracji OAuth Azure AD jako zwykły string zamiast jako Secret. Powoduje to, że sekret klienta Azure OAuth jest ujawniany w postaci jawnego tekstu każdemu użytkownikowi lub procesowi mającemu dostęp do punktu końcowego /-/config.