🇰🇷 한글 설명
Prometheus의 Azure AD 원격 쓰기 OAuth 설정 중 client_secret 필드가 Secret 타입이 아닌 일반 문자열로 처리되어 발생한 취약점입니다. 이로 인해 /-/config HTTP API 엔드포인트를 통해 Azure OAuth 클라이언트 비밀번호가 평문으로 노출될 수 있습니다.
💡 쉬운 설명
모니터링 도구인 Prometheus의 설정 파일에서 중요한 비밀번호가 암호화되지 않은 상태로 노출되는 문제입니다. 관리자 페이지를 통해 누구나 이 비밀번호를 텍스트 형태로 볼 수 있어 보안 위험이 있습니다.
🇺🇸 원문 (English)
Prometheus is an open-source monitoring system and time series database. Prior to versions 3.5.3 and 3.11.3, the client_secret field in the Azure AD remote write OAuth configuration (storage/remote/azuread) was typed as string instead of Secret. Prometheus redacts fields of type Secret when serving the configuration via the /-/config HTTP API endpoint. Because the field was a plain string, the Azure OAuth client secret was exposed in plaintext to any user or process with access to that endpoint. This issue has been patched in versions 3.5.3 and 3.11.3.
📍 영향받는 시스템
Prometheus versions prior to 3.5.3 and 3.11.3
⚔️ 공격 벡터
HTTP API 엔드포인트(/-/config)에 접근하여 설정 정보 내의 평문 비밀번호 탈취
🛡️ 대응 방법
Prometheus를 버전 3.5.3 또는 3.11.3 이상으로 업데이트
🔧 검증 코드
명령어 실행 결과에 3.5.3 또는 3.11.3 이상의 버전이 표시되면 취약점이 해결된 상태입니다.
prometheus --version 2>/dev/null | grep -E '3\.(5\.3|11\.3)'