中危 Prometheus Blackbox Exporter 代码问题漏洞

CVE编号

CVE-2020-16248

利用情况

POC 已公开

补丁情况

官方补丁

披露时间

2020-08-10

漏洞描述

Prometheus Blackbox Exporter是美国Linux基金会发布的一款允许通过HTTP、HTTPS、DNS、TCP和ICMP对端点进行黑盒探测的黑盒导出器。 Prometheus Blackbox Exporter 0.17.0及之前版本中存在代码问题漏洞。该漏洞源于网络系统或产品的代码开发过程中存在设计或实现不当的问题。

解决建议

厂商尚未提供漏洞修复方案，请关注厂商主页更新：https://prometheus.io/

参考链接
https://github.com/prometheus/blackbox_exporter/issues/669
https://prometheus.io/docs/operating/security/
https://seclists.org/oss-sec/2020/q3/94
https://www.openwall.com/lists/oss-security/2020/08/08/12
https://www.openwall.com/lists/oss-security/2020/08/08/3

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	prometheus	blackbox_exporter	*		Up to (including) 0.17.0
	运行在以下环境
	系统	alpine_3.18	prometheus-blackbox-exporter	*		Up to (excluding) 0.18.0-r0
	运行在以下环境
	系统	alpine_edge	prometheus-blackbox-exporter	*		Up to (excluding) 0.18.0-r0
	运行在以下环境
	系统	debian_10	prometheus-blackbox-exporter	*		Up to (including) 0.13.0+ds-2
	运行在以下环境
	系统	debian_11	prometheus-blackbox-exporter	*		Up to (including) 0.18.0+ds-3
	运行在以下环境
	系统	debian_12	prometheus-blackbox-exporter	*		Up to (including) 0.23.0-4
	运行在以下环境
	系统	debian_9	prometheus-blackbox-exporter	*		Up to (including) 0.3.0+ds1-1
	运行在以下环境
	系统	debian_sid	prometheus-blackbox-exporter	*		Up to (including) 0.24.0-1

阿里云评分 4.5

• 攻击路径 远程
• 攻击复杂度 容易
• 权限要求 无需权限
• 影响范围 有限影响
• EXP成熟度 POC 已公开
• 补丁情况 官方补丁
• 数据保密性 无影响
• 数据完整性 传输被破坏
• 服务器危害 无影响
• 全网数量 N/A

CWE-ID	漏洞类型
CWE-918	服务端请求伪造（SSRF）

Exp相关链接

• https://github.com/prometheus/blackbox_exporter/issues/669

- avd.aliyun.com