CNCF graduated·incubating 프로젝트 릴리스 노트의 AI 분석.
보안 권고 식별자가 붙은 결함 수정이 포함되어 있습니다. 관련 기능을 사용하는 환경에서는 업그레이드가 조치 대상입니다.
영향 확인 (3)
securityhighAzureAD remote write의 OAuth 비밀값 노출 수정
AzureAD remote write를 사용하는 경우에 적용됩니다.
securityhighRemote-read의 과도한 디코드 길이 요청 처리 수정
Remote-read를 사용하는 경우에 적용됩니다.
securitymedium기존 UI heatmap chart의 저장형 XSS 수정
old UI heatmap chart를 사용하는 경우에 적용됩니다.
운영자용 보안 수정이 포함되어 평문으로 노출되던 비밀 값과 저장형 XSS 문제를 바로잡았습니다. 원격 읽기와 쓰기 요청은 디코드 후 길이가 제한을 넘는 압축 요청을 거부하도록 검증이 강화되었습니다.
영향 확인 (4)
securityhighOAuth client_secret 평문 노출 수정
AzureAD remote write를 사용하는 경우 적용됩니다.
securityhighRemote-read 압축 요청 길이 검증 강화
Remote-read를 사용하는 경우 적용됩니다.
securitymediumUI 히트맵 차트의 저장형 XSS 수정
UI를 사용하는 경우 적용됩니다.
이번 릴리스에는 결함 수정이 포함되어 있으며, 설정 정보가 남아 유출되는 문제와 Python 취약점에 대응합니다. 프런트엔드 기반 이미지도 ubi9로 업데이트했습니다.
조치 필요 (2)
security동일 유형 probe 간 오래된 설정 유출 방지
같은 유형의 여러 probe에서 오래된 설정이 유출되던 문제를 수정했습니다.
securityPython 취약점 해결을 위한 기반 이미지 업데이트
프런트엔드의 기반 이미지를 ubi9로 업데이트해 Python 취약점을 해결했습니다.
Prometheus v3.11.2에는 웹 UI에서 이스케이프되지 않은 메트릭 이름과 라벨로 발생하던 저장형 XSS 수정이 포함됩니다. Prometheus 웹 UI 사용 여부에 따라 관련성이 달라집니다.
영향 확인 (1)
securitymedium웹 UI의 저장형 XSS 수정
Prometheus 웹 UI를 사용하는 경우에 적용됩니다.
Prometheus v3.5.2에는 웹 UI에서 조작된 메트릭 이름과 레이블 값으로 발생할 수 있는 저장형 XSS 수정이 포함됩니다. 해당 값이 UI에 표시되는 환경이라면 이 릴리스의 변경 사항과 관련이 있습니다.
영향 확인 (1)
securitymediumPrometheus web UI의 저장형 XSS 수정
조작된 메트릭 이름이나 레이블 값이 Prometheus web UI에 전달될 수 있는 경우에 적용됩니다.
