El XSS en sí necesita una vía para introducir una serie manipulada en el TSDB. Cualquiera de estas opciones sirve:

• un endpoint remote_write abierto (lo que usa este PoC),
• un objetivo de scrape comprometido o controlado por el atacante,
• un receptor OTLP.

Un Prometheus expuesto a Internet o a la LAN sin autenticación por delante proporciona todo lo anterior sin esfuerzo adicional, que es lo que hace que esto sea explotable en la práctica y no meramente teórico.

Lo que hace este script

Envía un único POST /api/v1/write que contiene una serie temporal cuyo __name__ es:

El WriteRequest de protobuf está codificado a mano en ~40 líneas, por lo que no hay dependencia de protobuf, prometheus_pb2 ni promtool — solo python-snappy para la compresión en el cable y requests para el POST. Eso facilita desplegarlo en un host de salto donde no se pueden compilar stubs protobuf generados.

Requisitos

python-snappy necesita la librería C de Snappy:

Uso

El script asume HTTPS en el puerto 9090 con la verificación de certificados deshabilitada (típico en una instancia interna con un certificado autofirmado). Si tu objetivo usa HTTP plano u otro puerto, edita la línea url en main().

Una inyección exitosa devuelve HTTP 204:

Confirmar que la escritura se registró

Consulta la serie en la interfaz o API de Prometheus — debería devolver resultados de inmediato:

La vista de tabla realiza el escape correctamente y muestra la carga como texto plano. Eso es lo esperado y no es la superficie vulnerable.

Disparar la carga

Abre el Metrics Explorer (el navegador de métricas junto al cuadro de consulta), busca pentest_poc y pasa el cursor sobre la entrada listada.

En pruebas de campo contra 3.2.1, la ruta del Metrics Explorer se disparó de forma fiable mientras que el tooltip de la pestaña Graph no se reprodujo — la muestra inyectada (valor 1.0) no se renderizó visiblemente en el gráfico trazado, y pasar el cursor sobre la leyenda tampoco la disparó. Ambas superficies se mencionan en el aviso; si una no se dispara en tu versión objetivo, prueba la otra antes de concluir que no es vulnerable.

La carga predeterminada usa console.log() para no interrumpir a quien no la esté buscando. Para una demo visible — una captura de pantalla para un informe, por ejemplo — cambia METRIC_NAME para usar alert():

Limpieza — lee esto antes de ejecutarlo

La serie inyectada es persistente. Una vez escrita, permanece en el TSDB hasta que la retención la expire. Eliminarla requiere la API de administración, que está deshabilitada por defecto:

Si la API de administración está desactivada, no hay vía de limpieza remota. La única alternativa es promtool tsdb ejecutado localmente en el host, al que probablemente no tengas acceso.

Consecuencias prácticas:

• Confirma que la limpieza es posible antes de inyectar en algo que te importe, o acepta que el artefacto persiste.
• El nombre de la métrica es deliberadamente largo, inconfundible y autoexplicativo (job="pentest_poc"), de modo que sea fácil de encontrar y resulte obvio que es un artefacto de prueba.
• En un compromiso autorizado, informa directamente al cliente sobre cualquier serie residual, para que no se confunda después con un compromiso real.

Pruebas seguras

Para reproducirlo contra una instancia desechable en lugar de algo en producción:

Luego apunta el script a 127.0.0.1 (cambia el esquema de la URL a http:// en main()). Iniciar con --web.enable-admin-api significa que realmente podrás eliminar la serie después.

Remediación

1. Actualiza a Prometheus 3.5.2 o posterior. Esa es la corrección.
2. Coloca autenticación y TLS delante de la interfaz y la API de Prometheus — un proxy inverso con autenticación, o --web.config.file con basic_auth_users.
3. No habilites --web.enable-remote-write-receiver a menos que lo necesites, y nunca lo expongas sin autenticación.
4. Restringe el acceso de red al puerto 9090 solo a los hosts que legítimamente lo necesiten.

Ten en cuenta que (1) por sí solo corrige el XSS, pero un Prometheus sin autenticación sigue siendo por sí mismo una superficie sustancial de divulgación de información: la lista completa de nombres de métricas, el inventario de objetivos de scrape y los nombres de host internos son legibles sin credenciales.

Solo uso autorizado

Esto se publica para defensores, investigadores y evaluadores que trabajan bajo autorización. La vulnerabilidad está divulgada públicamente y parcheada upstream.

Ejecutar esto contra un sistema escribe datos persistentes en él. No lo apuntes a infraestructura que no poseas o para la que no tengas permiso escrito explícito para realizar pruebas.

Licencia

MIT — consulta LICENSE.