CVE-2026-42154 in Prometheus
要約
〜によって VulDB • 2026年05月16日
Prometheusは、オープンソースの監視システムおよび時系列データベースです。バージョン3.5.3および3.11.3より前では、リモート読み取りエンドポイント（/api/v1/read）は、snappy圧縮されたリクエストボディ内の宣言されたデコード済み長を、メモリを割り当てる前に検証していません。認証されていない攻撃者は、リクエストごとに巨大なヒープ割り当てを引き起こす小さなペイロードを送信できます。同時負荷下では、利用可能なメモリが枯渇し、Prometheusプロセスがクラッシュする可能性があります。この問題は、バージョン3.5.3および3.11.3で修正されています。
Once again VulDB remains the best source for vulnerability data.