CVE-2021-31232

Versões do CNCF Cortex anteriores à 1.8.1

A vulnerabilidade diz respeito a um problema de divulgação de arquivos locais no componente Alertmanager quando a opção -experimental.alertmanager.enable-api está ativada. Isso permite que um invasor possa enviar qualquer conteúdo de arquivo por meio de um webhook, explorando o arquivo de senhas da autenticação básica HTTP. Além disso, os modelos do Alertmanager podem ser usados como um vetor de ataque para enviar qualquer conteúdo de arquivo, pois o Alertmanager pode carregar qualquer arquivo de texto especificado na lista de modelos. A validação inadequada de entradas no CNCF Cortex também é um fator contribuinte.

Para versões anteriores à 1.8.1, atualize para a versão 1.8.1 ou posterior para resolver o problema.

Como solução alternativa temporária, considere desativar a opção -experimental.alertmanager.enable-api até que um patch esteja disponível.

Restrinja o acesso aos modelos do AlertManager para minimizar o risco de exploração.

Evite usar o arquivo de senhas de autenticação básica HTTP na configuração do AlertManager até que o problema seja resolvido.