CVE-2026-40179

요약

Prometheus는 오픈소스 모니터링 시스템이자 시계열 데이터베이스입니다. 버전 3.0부터 3.5.1까지와 3.6.0부터 3.11.1까지는 Prometheus 웹 UI의 여러 구성 요소에 저장형 크로스 사이트 스크립팅 취약점이 있으며, 메트릭 이름과 레이블 값이 이스케이프 처리 없이 innerHTML에 주입됩니다. Mantine UI와 기존 React UI 모두에서 Graph 페이지의 차트 툴팁은 살균 처리 없이 HTML/JavaScript를 포함한 메트릭 이름을 렌더링합니다. 기존 React UI에서 Metric Explorer의 퍼지 검색 결과는 이스케이프 처리 없이 dangerouslySetInnerHTML을 사용하며, 히트맵 셀 툴팁은 살균 처리 없이 le 레이블 값을 보간합니다. Prometheus v3.x가 UTF-8 메트릭 및 레이블 이름 검증을 기본값으로 사용함에 따라 <, >, "와 같은 문자는 이제 메트릭 이름과 레이블에서 유효합니다. 손상된 스크레이프 대상, 원격 쓰기 또는 OTLP 수신기 엔드포인트를 통해 메트릭을 주입할 수 있는 공격자는 Graph UI에서 메트릭을 보는 모든 Prometheus 사용자의 브라우저에서 임의의 JavaScript를 실행할 수 있으며, 활성화된 플래그에 따라 구성 탈취, 데이터 삭제 또는 Prometheus 종료를 유발할 수 있습니다. 이 문제는 버전 3.5.2 및 3.11.2에서 수정되었습니다. 개발자가 즉시 업데이트할 수 없는 경우 다음 해결 방법이 권장됩니다: 원격 쓰기 수신기(--web.enable-remote-write-receiver)와 OTLP 수신기(--web.enable-otlp-receiver)가 신뢰할 수 없는 소스에 노출되지 않도록 하십시오. 모든 스크레이프 대상이 신뢰할 수 있고 공격자의 통제 하에 있지 않은지 확인하십시오. 신뢰할 수 없는 데이터가 유입될 수 있는 환경에서는 관리자 또는 변경 API 엔드포인트(예: --web.enable-admin-api 또는 --web.enable-lifecycle) 활성화를 피하십시오. 그리고 label_replace와 같은 함수를 포함하는 신뢰할 수 없는 링크는 클릭하지 마십시오. 이러한 링크는 오염된 레이블 이름과 값을 생성할 수 있습니다.

• CVE-2026-40179-PoCPoC

  CVE-2026-40179용 최소 Python PoC: 인증되지 않은 Prometheus remote_write를 통해 악성 메트릭 이름을 주입하여 웹 UI에 저장형 XSS를 유발합니다. protobuf 스텁이 필요하지 않습니다.