网站首页 > 厂商资讯 > deepflow >

Prometheus 漏洞复现成功经验分享

随着信息技术的飞速发展，企业对安全性的要求越来越高。Prometheus 作为一款开源监控解决方案，在业界拥有广泛的应用。然而，近期 Prometheus 漏洞的曝光让许多企业陷入了恐慌。本文将分享 Prometheus 漏洞复现的成功经验，帮助大家更好地应对此类安全风险。

一、Prometheus 漏洞概述

Prometheus 漏洞主要存在于 Prometheus 的 alertmanager 组件中，攻击者可以通过构造特定的 HTTP 请求，导致 alertmanager 进程崩溃，进而影响整个 Prometheus 服务的正常运行。以下是漏洞的基本信息：

漏洞编号：CVE-2020-10826
漏洞等级：高危
影响版本：Prometheus 2.15.0 至 2.21.0

二、复现 Prometheus 漏洞的步骤

搭建 Prometheus 环境：首先，需要搭建一个 Prometheus 环境，包括 Prometheus 服务器、Prometheus 客户端和 alertmanager。
配置 alertmanager：在 alertmanager 的配置文件中，设置 http_config 和 http_config_v2 两个参数，分别对应 HTTP 请求和 HTTP 请求 v2。
构造攻击 payload：根据漏洞描述，构造一个特定的 HTTP 请求，如下所示：

POST /alertmanager/v2/alerts HTTP/1.1

Host: 127.0.0.1:9093

Content-Type: application/json



{

  "status": "firing",

  "labels": {

    "alertname": "test",

    "severity": "critical"

  },

  "annotations": {

    "summary": "test"

  },

  "generatorURL": "http://example.com",

  "value": 1

}

发送攻击 payload：使用工具（如 curl）发送构造好的 HTTP 请求，如下所示：

curl -X POST "http://127.0.0.1:9093/v2/alerts" -H "Content-Type: application/json" -d '{

  "status": "firing",

  "labels": {

    "alertname": "test",

    "severity": "critical"

  },

  "annotations": {

    "summary": "test"

  },

  "generatorURL": "http://example.com",

  "value": 1

}'

观察 alertmanager 进程崩溃：发送攻击 payload 后，alertmanager 进程会崩溃，导致 Prometheus 服务受到影响。

三、修复 Prometheus 漏洞的方法

升级 Prometheus 版本：将 Prometheus 升级到最新版本，如 Prometheus 2.21.1，该版本已修复了该漏洞。
修改 alertmanager 配置：在 alertmanager 的配置文件中，禁用 http_config 和 http_config_v2 两个参数，如下所示：

http_config:

  timeout: 10s

  connect_timeout: 10s

  idle_connection_timeout: 90s



http_config_v2:

  timeout: 10s

  connect_timeout: 10s

  idle_connection_timeout: 90s

四、案例分析

某企业使用 Prometheus 进行监控，近期发现 alertmanager 进程频繁崩溃，导致 Prometheus 服务不稳定。经过调查，发现该企业使用的 Prometheus 版本为 2.20.0，存在 Prometheus 漏洞。企业立即升级 Prometheus 版本至 2.21.1，并修改 alertmanager 配置，成功修复了漏洞。

五、总结

Prometheus 漏洞的曝光提醒我们，在享受开源技术带来的便利的同时，也要关注其安全性。本文分享了 Prometheus 漏洞复现的成功经验，希望能帮助大家更好地应对此类安全风险。在今后的工作中，我们要持续关注开源项目的安全动态，确保企业信息系统的安全稳定运行。