PT-2020-14841 · Prometheus+2 · Prometheus Blackbox Exporter+2

Richard Hartmann · Publicado 2020-08-09 · Atualizado 2026-01-30 · CVE-2020-16248

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.8

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do Prometheus Blackbox Exporter até a 0.17.0

Descrição

A vulnerabilidade permite uma falsificação de solicitação do lado do servidor (SSRF) por meio do endpoint /probe com o parâmetro target. Há uma discussão sugerindo que isso poderia ser visto tanto como uma funcionalidade pretendida quanto como um possível problema.

Recomendações

Para as versões do Prometheus Blackbox Exporter até a 0.17.0, considere restringir o acesso ao endpoint /probe ou limitar o parâmetro target para minimizar o risco de exploração de SSRF.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

ALT-PU-2021-1153

ALT-PU-2022-1254

CLEANSTART-2026-YM28538

CLEANSTART-2026-ZL24388

CVE-2020-16248

ECHO-0FA2-10C0-9888

Produtos afetados

Alt Linux

Debian

Prometheus Blackbox Exporter

Referências · 19

• 🔥 https://github.com/prometheus/blackbox_exporter/issues/669 · Exploit
• https://github.com/cleanstart-dev/cleanstart-security-advisories/tree/main/advisories/2026/CLEANSTART-2026-YM28538.json · Nota
• https://github.com/cleanstart-dev/cleanstart-security-advisories/tree/main/advisories/2026/CLEANSTART-2026-ZL24388.json · Nota
• https://osv.dev/vulnerability/CLEANSTART-2026-YM28538 · Aviso do Fabricante
• https://openwall.com/lists/oss-security/2020/08/08/3 · Nota
• https://t.me/cvenotify/88989 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-16248 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-16248 · Nota de Segurança
• https://prometheus.io/docs/operating/security/#exporters · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2020-16248 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2020-16248 · Aviso do Fabricante
• https://osv.dev/vulnerability/CLEANSTART-2026-ZL24388 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-f6x5-jh6r-wrfv · Nota
• https://ubuntu.com/security/CVE-2020-16248 · Aviso do Fabricante
• https://seclists.org/oss-sec/2020/q3/94 · Nota