epsylon/prommetrixPrommetrix kann relevante Informationen aus den Instanzen von „Node Exporter“ abrufen, die von „Prometheus“ ausgeführt werden.
Prommetrix ist ein freies Software-Tool, um relevante Informationen von den Instanzen des 'Node Exporter' zu erhalten, die von 'Prometheus' ausgeführt werden.
Prometheus ist eine Open-Source-Lösung für metrikenbasiertes Ereignis-Monitoring und Alerting für Cloud-Anwendungen. Es wird von fast 800 Cloud-nativen Organisationen verwendet, darunter Uber, Slack, Robinhood und weitere. Durch das Scrapen von Echtzeit-Metriken von verschiedenen Endpunkten ermöglicht Prometheus eine einfache Beobachtung des Systemzustands sowie die Beobachtung von Hardware- und Software-Metriken wie Speichernutzung, Netzwerkauslastung und softwarespezifisch definierten Metriken (z. B. Anzahl fehlgeschlagener Anmeldeversuche bei einer Webanwendung).
Da die von Prometheus erfassten numerischen Metriken nicht als sensible Daten gelten, vertrat Prometheus verständlicherweise die Politik, keine integrierte Unterstützung für Sicherheitsfunktionen wie Authentifizierung und Verschlüsselung einzubauen, um sich auf die Entwicklung der monitoringbezogenen Funktionen zu konzentrieren. Dies änderte sich vor weniger als einem Jahr (Jan 2021) mit der Veröffentlichung von Version 2.24.0, in der Unterstützung für Transport Layer Security (TLS) und Basisauthentifizierung eingeführt wurde.
Da die Unterstützung für Authentifizierung und Verschlüsselung relativ neu ist, haben viele Organisationen, die Prometheus verwenden, diese Funktionen noch nicht aktiviert. Daher sind viele Prometheus-Endpunkte vollständig im Internet exponiert (z. B. Endpunkte, die ältere Versionen ausführen), wodurch Metrik- und Labeldaten preisgegeben werden.
Diese Schwachstelle kann in einem Pentest/Bericht wie folgt beschrieben werden:
"Metrikdaten sollen für einige Dienste gesammelt werden, und diese Komponenten müssen eine Client-Bibliothek implementieren, die es dem zentralen Prometheus-Dienst ermöglicht, die Daten zu scrapen. Die Client- Bibliothek öffnet einen minimalen HTTP-Server und legt eine Route offen, die dann beim zentralen Dienst für das Scraping registriert wird. Dieser Endpunkt ist standardmäßig unauthentifiziert, was es jedem, der den URI kennt, erlaubt, die Metrikdaten zu lesen. Es wird empfohlen, eine Form der Authentifizierung einzurichten. Nur dem zentralen Prometheus-Dienst sollte es erlaubt sein, die Metrikdaten zu lesen."
Dork (bei Verwendung des Standard-Ports):
Prommetrix - nutzt diese Metriken aus, um relevante Informationen von der Prometheus-Instanz sowie von der Maschine, auf der sie ausgeführt wird, zu erhalten.
Dieses Tool läuft auf vielen Plattformen und benötigt Python (3.x.y).
python prommetrix.py (oder python3 prommetrix.py)
Prommetrix wird unter der GPLv3 veröffentlicht.
- psy ([email protected])
Um Spenden zu machen, verwende den folgenden Hash:
- Bitcoin: 19aXfJtoYJUoXEZtjNwsah2JKN9CK5Pcjw