PT-2026-36896 · Unknown+1 · Prometheus+1
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
Nome do Software Vulnerável e Versões Afetadas
Prometheus versões anteriores a 3.5.3
Prometheus versões anteriores a 3.11.3
Descrição
O campo
client secret na configuração OAuth de gravação remota do Azure AD (storage/remote/azuread) foi incorretamente tipificado como uma string em vez de Secret. Consequentemente, quando a configuração é fornecida através do endpoint da API HTTP '/-/config', o segredo do cliente OAuth do Azure é exposto em texto simples para qualquer usuário ou processo com acesso a esse endpoint, pois o Prometheus redige apenas campos explicitamente tipificados como Secret.Recomendações
Atualizar para a versão 3.5.3.
Atualizar para a versão 3.11.3.
Exploit
Correção
Cleartext Storage of Sensitive Information
Information Disclosure
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Prometheus
Rocky Linux