exporter-toolkit 存在身份验证绕过漏洞-低调大师

exporter-toolkit 存在身份验证绕过漏洞

2022-11-30 536

漏洞描述

exporter-toolkit 是 Prometheus 的导出工具包，

exporter-toolkit 为减少使用 bcrypt 哈希验证用户身份所需要的时间和资源，从而采用缓存 cacheKey = hex(username + hashed password + input password）验证用户身份信息。为了避免侧信道攻击，对于缓存中不存在的用户（validUser）采用固定 hashed password 进行缓存验证。

攻击者在已知散列密码（hashed password）的情况下可通过毒化缓存进行身份绕过：

发动请求毒化缓存：

username = username+hashed password

password = "fakepassword"

身份绕过：

username = username

password = bcrypt(fakepassword)+"fakepassword"

Prometheus 是一个开源的系统和服务监控系统，目前在 GitHub 具有 45.7k stars，Prometheus 在 2.37.4 和 2.40.4 之前的版本中受此漏洞影响。

漏洞名称	exporter-toolkit 存在身份验证绕过漏洞
漏洞类型	认证算法的不正确实现
发现时间	2022-11-30
漏洞影响广度	小
MPS编号	MPS-2022-65539
CVE编号	CVE-2022-46146
CNVD编号	-

影响范围

github.com/prometheus/exporter-toolkit@(-∞, 0.7.2)

github.com/prometheus/exporter-toolkit@[0.8.0, 0.8.2)

修复方案

升级github.com/prometheus/exporter-toolkit到 0.7.2 或 0.8.2 或更高版本

参考链接

https://www.oscs1024.com/hd/MPS-2022-65539

https://github.com/prometheus/exporter-toolkit/security/advisories/GHSA-7rg2-cxvp-9p7p

https://github.com/prometheus/exporter-toolkit/commit/5b1eab34484ddd353986bce736cd119d863e4ff5

https://nvd.nist.gov/vuln/detail/CVE-2022-46146

情报订阅

OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。同时提供漏洞、投毒情报的免费订阅服务，社区用户可通过配置飞书、钉钉、企业微信机器人，及时获得一手情报信息推送：

https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见：

https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc

微信关注我们

原文链接：https://www.oschina.net/news/219894

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

Forest + IDEA = 双倍快乐! ForestX 隆重登场

Forest + IDEA = 双倍快乐! ForestX 隆重登场 Forest 是一款声明式的 Java 开源 HTTP 框架，相比它的前辈 Httpclient 和 OkHttp 更简明易懂、也更容易维护废话不多说，先让我们康康用它写出来的代码长什么样子 public interface AmapClient { /** * 聪明的你一定看出来了这是一个GET请求 */ @Get("http://ditu.amap.com/service/regeo?longitude={lng}&latitude={lat}") Map getLocation(@Var("lng") String longitude, @Var("lat") String latitude); } 轻轻松松完成了从高德地图获取经纬度所在的地理信息的 Rest API 接口定义，之后只要调用AmapClient.getLocation这个 Java 方法即可自动发送 HTTP 请求，并接受响应数据，然后转换成 Map 类型对象再交到你手上这样做确实比以前手动组装 OkHttp ...

2022-11-30

335

2022年11月，经openKylin社区技术委员会审议通过，Phytium内核补丁特别兴趣小组—PhytiumKernelPatch SIG正式成立。 PhytiumKernelPatch SIG由openKylin社区共建单位飞腾信息技术有限公司发起成立，在openKylin社区中负责为搭载飞腾系列处理器的服务器及桌面平台提供支持飞腾特性的内核补丁，包括但不限于双路特性支持补丁、Kdump功能修复补丁、中断堆积修复补丁、SMMU特性支持补丁以及系统驱动适配补丁等。 01 SIG目标维护已提交至社区的飞腾内核补丁代码；完善飞腾高性能服务器芯片内核适配并同步最新补丁代码；提交并维护飞腾高效能桌面芯片内核补丁代码。 02 SIG职责 1、面向飞腾高性能服务器芯片的Linux内核适配提交并维护面向飞腾高性能服务器芯片的Linux内核功能适配及修复补丁，为搭载飞腾腾云S2500、FT-2000+/64等处理器的服务器提供高效、可靠的运行环境及完善、健全的功能支持。 2、面向飞腾高效能桌面芯片的Linux内核适配提交并维护面向飞腾高效能桌面芯片的Linux内核功能适配及修复补丁，为搭...

2022-11-30

409

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。