Podatności VictoriaMetrics

VictoriaMetrics to skalowalne rozwiązanie do monitorowania i zarządzania danymi szeregów czasowych. Przed wersjami 1.122.25, 1.136.12 i 1.146.0 narzędzie vmrestore nie waliduje składników ścieżek części kopii zapasowej przed użyciem lib/backup/actions/restore.go i lib/backup/fslocal/fslocal.go do zapisu przywróconych danych poniżej storageDataPath. Atakujący, który może dostarczyć lub zmodyfikować źródło kopii zapasowej S3, GCS, Azure Blob Storage lub inne, może umieścić składniki .. w nazwach obiektów. Gdy operator przywraca to źródło, spreparowane nazwy mogą tworzyć lub nadpisywać pliki poza zamierzonym katalogiem głównym przywracania w ramach uprawnień systemu plików procesu vmrestore. Problem został naprawiony w wersjach 1.122.25, 1.136.12 i 1.146.0.

W VictoriaMetrics do wersji 1.146.0 wykryto podatność w komponencie VMAuth Authentication Endpoint, w funkcji requestHandler pliku app/vmauth/main.go. Problem polega na nieprawidłowym ograniczeniu nadmiernych prób uwierzytelnienia, co umożliwia ataki brute-force. Atak jest zdalny, ale wymaga wysokiej złożoności. Zalecana jest aktualizacja do wersji 1.147.0.

VictoriaMetrics w wersjach od 1.0.0 przed 1.110.23, od 1.111.0 przed 1.122.8 i od 1.123.0 przed 1.129.1 jest podatny na ataki DoS, ponieważ dekoder snappy ignorował limity rozmiaru żądań, pozwalając zniekształconym blokom wywołać nadmierne zużycie pamięci. Może to prowadzić do błędów OOM i niestabilności usługi; poprawka wymusza sprawdzanie rozmiaru bloków na podstawie limitów MaxRequest i została wydana w wersjach 1.110.23, 1.122.8 i 1.129.1.