CVE-2026-42151
Təsvir
Prometheus açıq mənbəli monitorinq sistemi və zaman seriyalı verilənlər bazasıdır. Versiyalar 3.5.3 və 3.11.3-dən əvvəl, Azure AD uzaq yazma OAuth konfiqurasiyasındakı (storage/remote/azuread) client_secret sahəsi Secret yerinə string kimi təyin edilmişdi. Prometheus, konfiqurasiyanı /-/config HTTP API son nöqtəsi vasitəsilə təqdim edərkən Secret tipində olan sahələri gizlədir. Sahə adi string olduğu üçün, Azure OAuth müştəri sirri həmin son nöqtəyə giriş imkanı olan istənilən istifadəçiyə və ya prosesə açıq mətn formatında görünürdü. Bu problem 3.5.3 və 3.11.3 versiyalarında aradan qaldırılmışdır.
Necə düzəltmək olar
- prometheus prometheus3.5.3, 3.11.3 və ya daha yeni versiya
- github.com/prometheus/prometheus0.311.3 və ya daha yeni versiya
- access.redhat.com/errata/RHSA-2026:41019
- access.redhat.com/errata/RHSA-2026:36796
- access.redhat.com/errata/RHSA-2026:53413
- access.redhat.com/errata/RHSA-2026:34357
- access.redhat.com/errata/RHSA-2026:53412
- access.redhat.com/errata/RHSA-2026:53415
- access.redhat.com/errata/RHSA-2026:34359
- access.redhat.com/errata/RHSA-2026:56340
- access.redhat.com/errata/RHSA-2026:47952
- access.redhat.com/errata/RHSA-2026:50843
- access.redhat.com/errata/RHSA-2026:41030
- access.redhat.com/errata/RHSA-2026:44622
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| prometheus prometheus | 2.48.0 ≤ v < 3.5.3, 3.6.0 ≤ v < 3.11.3 | 3.5.3, 3.11.3 |
| github.com/prometheus/prometheusGo | 0.45.2 ≤ v < 0.311.3 | 0.311.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.