CVE-2026-42151
Açıklama
Prometheus açık kaynaklı bir izleme sistemi ve zaman serisi veritabanıdır. 3.5.3 ve 3.11.3 versiyonlarından önce, Azure AD uzak yazma OAuth yapılandırmasındaki (storage/remote/azuread) client_secret alanı Secret yerine string olarak tanımlanmıştı. Prometheus, yapılandırmayı /-/config HTTP API uç noktası üzerinden sunarken Secret tipindeki alanları gizlemektedir. Alan düz bir string olduğu için, Azure OAuth istemci sırrı (client secret), bu uç noktaya erişimi olan herhangi bir kullanıcıya veya işleme açık metin olarak ifşa edilmiştir. Bu sorun 3.5.3 ve 3.11.3 versiyonlarında giderilmiştir.
Nasıl düzeltilir
- prometheus prometheus3.5.3, 3.11.3 ya da sonraki bir sürüm
- github.com/prometheus/prometheus0.311.3 ya da sonraki bir sürüm
- access.redhat.com/errata/RHSA-2026:41019
- access.redhat.com/errata/RHSA-2026:36796
- access.redhat.com/errata/RHSA-2026:53413
- access.redhat.com/errata/RHSA-2026:34357
- access.redhat.com/errata/RHSA-2026:53412
- access.redhat.com/errata/RHSA-2026:53415
- access.redhat.com/errata/RHSA-2026:34359
- access.redhat.com/errata/RHSA-2026:56340
- access.redhat.com/errata/RHSA-2026:47952
- access.redhat.com/errata/RHSA-2026:50843
- access.redhat.com/errata/RHSA-2026:41030
- access.redhat.com/errata/RHSA-2026:44622
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| prometheus prometheus | 2.48.0 ≤ v < 3.5.3, 3.6.0 ≤ v < 3.11.3 | 3.5.3, 3.11.3 |
| github.com/prometheus/prometheusGo | 0.45.2 ≤ v < 0.311.3 | 0.311.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.