CVE-2026-42154
Prometheus: l'endpoint di lettura remota consente un denial of service tramite payload snappy appositamente creato
- Pubblicato
- 4 mag 2026
- Aggiornato
- 10 set 2026
- Assegnazione CNA
- GitHub_M
- Evidenza osservata
- 8 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:HBasso · prossimi 30 giorni
- Percentile
- 58,6%
- Data del modello
- 15 ott 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
Prometheus è un sistema di monitoraggio open-source e un database di serie temporali. Prima delle versioni 3.5.3 e 3.11.3, l'endpoint di lettura remota (/api/v1/read) non convalida la lunghezza decodificata dichiarata nel corpo di una richiesta compressa con snappy prima di allocare memoria. Un attaccante non autenticato può inviare un piccolo payload che provoca un'enorme allocazione di heap per ogni richiesta. Sotto carico concorrente, questo può esaurire la memoria disponibile e mandare in crash il processo Prometheus. Questo problema è stato corretto nelle versioni 3.5.3 e 3.11.3.
Fonti
Exploit proof-of-concept per CVE-2026-42154, una vulnerabilità di denial-of-service nell'endpoint Remote Read di Prometheus tramite richieste compresse con Snappy.
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.