CVE-2026-40179

概要

Prometheusは、オープンソースの監視システムおよび時系列データベースです。バージョン3.0から3.5.1、および3.6.0から3.11.1には、Prometheus Web UIの複数のコンポーネントに格納型クロスサイトスクリプティングの脆弱性が存在し、メトリック名とラベル値がエスケープ処理されずにinnerHTMLに注入されます。Mantine UIと旧React UIの両方において、Graphページのチャートツールチップは、サニタイズ処理なしでHTML/JavaScriptを含むメトリック名をレンダリングします。旧React UIでは、Metric Explorerのファジー検索結果がエスケープ処理なしでdangerouslySetInnerHTMLを使用し、ヒートマップのセルツールチップはサニタイズ処理なしでleラベル値を補間します。Prometheus v3.xではUTF-8のメトリック名およびラベル名の検証がデフォルトとなったため、<、>、"などの文字がメトリック名とラベルで有効になりました。侵害されたスクレイプターゲット、リモートライト、またはOTLPレシーバーエンドポイントを介してメトリックを注入できる攻撃者は、Graph UIでメトリックを表示するすべてのPrometheusユーザーのブラウザで任意のJavaScriptを実行でき、有効化されているフラグに応じて設定の流出、データ削除、またはPrometheusのシャットダウンを引き起こす可能性があります。この問題はバージョン3.5.2および3.11.2で修正されています。開発者が直ちに更新できない場合は、以下の回避策が推奨されます。リモートライトレシーバー（--web.enable-remote-write-receiver）およびOTLPレシーバー（--web.enable-otlp-receiver）が信頼できないソースに公開されていないことを確認する。すべてのスクレイプターゲットが信頼されており、攻撃者の制御下にないことを検証する。信頼できないデータが取り込まれる可能性のある環境では、管理用または変更用のAPIエンドポイント（例：--web.enable-admin-apiや--web.enable-lifecycle）の有効化を避ける。また、信頼できないリンク、特にlabel_replaceなどの関数を含むリンクをクリックしないようにする。これらのリンクは、汚染されたラベル名と値を生成する可能性があるためです。

• CVE-2026-40179-PoCPoC

  CVE-2026-40179 用の最小限の Python PoC: 認証なしの Prometheus remote_write を介して悪意のあるメトリック名を注入し、Web UI に格納型 XSS を引き起こします。protobuf スタブは不要です。