FreeBSD：Prometheus -- 任意のリダイレクト（59ab72fb-bccf-11eb-a38d-6805ca1caf5c）

medium Nessus プラグイン ID 150091

Language:

概要

リモートのFreeBSDホストに1つ以上のセキュリティ関連の更新プログラムがありません。

説明

Prometheusによる報告：

Prometheusは、オープンソースのモニタリングシステムおよび時系列データベースです。2.23.0で、PrometheusはそのデフォルトUIを新規UIに変更しました。
シームレスに移行できるよう、/newのプレフィックスのあるURLが/にリダイレクトされます。コードのバグにより、攻撃者が/newエンドポイントで他のURLにリダイレクトできるURLを細工する可能性があります。
ユーザーが特別に細工されたアドレスでprometheusサーバーにアクセスすると、任意のURLにリダイレクトされる可能性があります。この問題は2.26.1および2.27.1リリースで修正されました。2.28.0で、/newエンドポイントが完全に削除されます。回避策は、Prometheusの前にあるリバースプロキシを介して/newへのアクセスを無効にすることです。