CVE-2022-21698

client_golang, Prometheus'taki Go uygulamaları için enstrümantasyon kütüphanesidir ve client_golang içindeki promhttp paketi, HTTP sunucuları ve istemcileri etrafında araçlar sağlar. client_golang'ın 1.11.1 sürümünden önceki sürümlerinde, HTTP sunucusu standart olmayan HTTP yöntemleriyle gelen istekleri işlerken sınırsız kardinalite yoluyla hizmet reddine ve potansiyel bellek tükenmesine karşı savunmasızdır. Etkilenmek için, enstrümante edilmiş bir yazılımın `RequestsInFlight` dışındaki `promhttp.InstrumentHandler*` ara katmanlarından herhangi birini kullanması; ara katmandan önce belirli yöntemleri (ör. GET) filtrelememesi; ara katmanımıza `method` etiket adına sahip metriği geçirmesi; ve bilinmeyen `method` içeren istekleri filtreleyen herhangi bir güvenlik duvarı/LB/proxy'ye sahip olmaması gerekir. client_golang 1.11.1 sürümü bu sorun için bir yama içerir. InstrumentHandler içinde kullanılan counter/gauge'dan `method` etiket adının kaldırılması; etkilenen promhttp işleyicilerinin kapatılması; promhttp işleyicisinden önce Go http.Request tarafından verilen istek yöntemini temizleyecek özel bir ara katman eklenmesi; ve yalnızca sınırlı bir yöntem kümesine izin verecek şekilde yapılandırılmış bir ters proxy veya web uygulaması güvenlik duvarının kullanılması dahil olmak üzere çeşitli geçici çözümler mevcuttur.