BDU:2024-06600 (CVE-2023-40577)

Уязвимость файла /api/v1/alerts системы мониторинга Prometheus для обработки оповещений Alertmanager, позволяющая нарушителю выполнить произвольный код

Опубликовано: 2024-09-03

Описание

Уязвимость файла /api/v1/alerts системы мониторинга Prometheus для обработки оповещений Alertmanager связана с неправильной нейтрализацией входных данных во время генерации веб-страницы. Эксплуатация уязвимости может позволить нарушителю, выполнить произвольный код

Затрагиваемое ПО и версии

Debian GNU/Linux (10)Debian GNU/Linux (11)Debian GNU/Linux (12)РЕД ОС (7.3)OpenShift Container Platform (4.15)alertmanager (до 0.25.1)ОСОН ОСнова Оnyx (до 3.1)

Способ устранения

Для alertmanager:
https://github.com/prometheus/alertmanager/security/advisories/GHSA-v86x-5fm3-5p7j
https://github.com/prometheus/alertmanager/commit/8b9f2fd20c25e0d1e76aa0b407f7e354996d8e72

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2023-40577

Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/CVE-2023-40577

Для ОСОН ОСнова Оnyx: Обновление программного обеспечения prometheus-alertmanager до версии 0.28.1+ds-1

Оценка CVSS

Балл	5.5 — средняя опасность

Источники и патчи

https://github.com/prometheus/alertmanager/commit/8b9f2fd20c25e0d1e76aa0b407f7e354996d8e72 https://github.com/prometheus/alertmanager/security/advisories/GHSA-v86x-5fm3-5p7j https://redos.red-soft.ru/support/secure/https://security-tracker.debian.org/tracker/CVE-2023-40577 https://access.redhat.com/security/cve/CVE-2023-40577 https://поддержка.нппкт.рф/bin/view/ОСнова/Обновления/3.1/

Проверьте безопасность своего сайта и почты → Полная проверка домена