Prometheus Azure AD remote write OAuth client secret exposed via config API
Beschreibung
### Impact Benutzer, die Azure AD Remote Write mit OAuth-Authentifizierung verwenden, sind betroffen. Das `client secret`-Feld in der Azure AD-Fernschreib-OAuth-Konfiguration (`storage/remote/azuread`) wurde als `string` anstelle von `Secret` eingegeben. Prometheus löscht Felder vom Typ "Secret", wenn die Konfiguration über den HTTP-API-Endpunkt "/-/config" bereitgestellt wird. Da es sich bei dem Feld um eine einfache Zeichenfolge handelte, wurde das Azure OAuth-Clientgeheimnis jedem Benutzer oder Prozess mit Zugriff auf diesen Endpunkt im Klartext ausgesetzt. ### Patches Das Problem wurde gepatcht, indem `ClientSecret` in `OAuthConfig` in `Secret` geändert wurde. Benutzer sollten auf 3.11.3 oder 3.5.3 LTS upgraden. ### Workarounds Benutzer, die nicht upgraden können, können zu Managed Identity oder Workload Identity-Authentifizierung für Azure AD-Fernschreiber wechseln, bei denen es sich nicht um ein Clientgeheimnis handelt.
Quellen & weiterführende Informationen
Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.
Was ist zur Behebung zu tun?
Auf eine behobene Version aktualisieren: 0.311.3.
Empfohlene Schritte
- Betroffene Systeme identifizieren: Microsoft github.com/prometheus/prometheus.
- Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
- Update/Rollout auf behobene Version vorbereiten und priorisiert einspielen.
- Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.
Übergangsmaßnahmen
- Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
- WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
- Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
- Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.