Das LTS-Release Prometheus 3.5.4 vom 17. Juni 2026 behebt mehrere Sicherheitsprobleme. Zugangsdaten der STACKIT-Service-Discovery waren über den Endpunkt /-/config im Klartext sichtbar. Dazu aktualisiert das Release Go- und OpenTelemetry-Abhängigkeiten wegen bekannter CVEs und die Abhängigkeiten der Oberfläche. Container-Images erscheinen zusätzlich auf ghcr.io. Der Beitrag nennt, wer aktualisieren sollte.
Prometheus 3.5.4 schliesst mehrere Sicherheitslücken in der LTS-Linie. Am wichtigsten ist der Fund, dass Zugangsdaten der STACKIT-Service-Discovery im Klartext abrufbar waren.
Das Wichtigste in Kürze
- Zugangsdaten der STACKIT-Service-Discovery waren über
/-/configim Klartext sichtbar. Das Release behebt das unter der Kennung GHSA-39j6-789q-qxvh. - Go-Netzwerkbibliothek und OpenTelemetry sind aktualisiert. Sie beheben die CVEs GO-2026-5026, GO-2026-4918 und GO-2026-4985.
- Auch Abhängigkeiten der Weboberfläche haben Sicherheitsupdates.
- Container-Images erscheinen zusätzlich auf ghcr.io.
Das Projekt hat das Release am 17. Juni 2026 erstmals veröffentlicht und seither nicht aktualisiert.
Was behoben wurde
Der Endpunkt /-/config zeigt die laufende Konfiguration eines Prometheus-Servers. Bei der STACKIT-Service-Discovery stand dort das Secret im Klartext. Wer den Endpunkt erreichen konnte, las damit Zugangsdaten zur Cloud-Umgebung. Gemeldet haben das die Forscher August829 und Phaxma.
Das Entwicklerteam hat zudem golang.org/x/net auf Version 0.55.0 und OpenTelemetry auf 1.43.0 angehoben. Auch die Pakete react-router-dom, vitest, vite und postcss der Oberfläche liegen nun in gepatchten Ständen vor.
| Bereich | Änderung | Wer betroffen ist |
|---|---|---|
| STACKIT SD | Secrets erscheinen nicht mehr im Klartext | Alle mit STACKIT-Service-Discovery |
| Go und OpenTelemetry | Update wegen drei CVEs | Alle Installationen der LTS-Linie 3.5 |
| Weboberfläche | Bump von vier Paketen | Alle, die die Oberfläche nutzen |
| Images | Zusätzlich auf ghcr.io | Alle, die Container-Images ziehen |
Warum der Endpunkt bei Prometheus zählt
Die Konfiguration eines Monitoring-Servers enthält Zugangsdaten, etwa für die Service-Discovery. Ein Lesezugriff auf /-/config reicht deshalb für einen Einstieg in andere Systeme. Das Release zeigt, dass auch Monitoring-Werkzeuge Angriffsfläche haben.
Die Go-Lücke GO-2026-5026 betrifft die Bibliothek golang.org/x/net/idna vor Version 0.55.0. Sie nimmt laut der Go-Schwachstellendatenbank fehlerhaft Punycode-Labels an, die zu einem rein ASCII-basierten Label dekodieren. Das kann zu Rechteausweitung führen, wenn Programme Hostnamen vor der Umwandlung prüfen. Die Meldung dazu erschien am 22. Mai 2026.
Was Admins jetzt tun
- Aktualisiere LTS-Installationen auf 3.5.4, besonders mit STACKIT-Service-Discovery.
- Schütze den Zugriff auf die Weboberfläche und die API mit einem Reverse Proxy oder Netzregeln.
- Tausche Zugangsdaten für STACKIT aus, wenn der Endpunkt je von aussen erreichbar war.
- Prüfe, ob du Images künftig von ghcr.io ziehen willst.
- Beachte, dass die Linie 3.5 laut Release-Zyklus des Projekts bis zum 31. Juli 2026 unterstützt wird. Plane den Wechsel auf die nächste LTS-Linie ein.
Wie sich Monitoring mit KI-Unterstützung aufbauen lässt, zeigt der Beitrag zu Netdata und Claude.
Fazit
Das Update ist klein, aber relevant: Ein Klartext-Secret gehört auf keinen Endpunkt. Wer die LTS-Linie betreibt, spielt 3.5.4 ein und rotiert gegebenenfalls die Zugangsdaten. Danach steht der Wechsel auf die nächste LTS-Linie an.
Quellen: Prometheus Release v3.5.4 auf GitHub, Go-Schwachstellendatenbank GO-2026-5026, Prometheus Release-Zyklus. Foto: balouriarajesh / Pixabay. Stand: 17. Juni 2026.
Recherche und Entwurf KI-gestützt, geprüft und freigegeben von Andreas Brauckmann · So arbeitet die Redaktion
Änderungshistorie
- — Artikel veröffentlicht.