Açığa çıkmış Prometheus Blackbox Exporter endpoint'leri ağ aktarıcısı olarak suistimal edilebilir

Aktarıcı nasıl çalışıyor

Prometheus Blackbox Exporter, HTTP, HTTPS, DNS, TCP, ICMP ve gRPC endpoint'lerini çalıştığı yerden yoklar. Araç aslında tam da bu avantaj için var: merkezi izleme sunucusunun ulaşamadığı hedeflere erişebilir. Yakın tarihli bir dev.to yazısında belirtildiği gibi, standart çoklu hedefli (multi-target) kurulumda hedef, istek parametresi olarak exporter'ın /probe endpoint'ine iletilir. Prometheus bu parametreyi normalde incelenmiş yapılandırmadan doldurur, ancak endpoint'in kendisi bu düzeni zorunlu kılmaz.

/probe kimlik doğrulaması olmadan yanıt veriyorsa, üçüncü bir taraf herhangi bir hedef belirleyebilir ve exporter'ın kendi sunucusundan bir bağlantı açmasını sağlayabilir; bu bir iç adres, bir cloud metadata servisi ya da rastgele bir internet hedefi olabilir. Sorgunun çıktısı ayrıca durum kodları, header'lar, zamanlama ve sertifika bilgisi gibi keşif ayrıntılarını da sızdırabilir.

Yazı sorunu kimlik bilgisi hırsızlığı değil, istek sahteciliği (request forgery) olarak çerçeveliyor. Depolanmış sırrı olmayan bir kurulum bile açık kalır, çünkü saldırganın ödünç aldığı şey exporter'ın ağdaki konumudur: DNS çözümlemesi, çıkış (egress) yolları ve yönetim ağlarına ya da cluster metadata endpoint'lerine olası erişimi.

Açığın boyutunu ölçmek

Kaç instance'ın görünür olduğunu tahmin etmek için yazar, 12 Kasım 2026'da 00:49:31 ile 00:49:34 UTC arasında sınırlı bir ZoomEye araması yaptı. Bir uygulama parmak izi sorgusu sıfır sonuç döndü, "Blackbox Exporter" için başlık araması 1.050 sunucu, gövde araması ise 30.915 sonuç döndürdü. Başlık sonucu bir aday kümesidir; gövde rakamı ise dokümantasyon, dashboard ve atıflar tarafından şişirilmiştir, dolayısıyla bu bir izleme servisi sayımı değildir.

Endpoint'i kilitlemek

Exporter'ın README'si, bir web yapılandırma dosyası üzerinden TLS ve basic authentication'ı belgeler ve bu ayarlar /metrics, /probe ve web arayüzünü kapsar. dev.to yazısı, servis ayrı bir izleme ağına hapsedilmemişse bu ayarların açılmasını önerir; ancak tek başına kimlik doğrulamanın yeterli olmadığı uyarısını da ekler, çünkü geçerli bir kimlik bilgisi paylaşılabilir ya da sızdırılabilir. Ağ politikası (network policy) hâlâ gereklidir.

En güvenli desen, hedef üretimini Prometheus'un içinde ve incelenmiş service discovery'de tutmak, exporter'ı yalnızca izleme sisteminden erişilebilir kılmaktır. Çıkış trafiği bir firewall, network policy veya ayrılmış subnet ile kısıtlanmalı; belgelenmiş bir izleme ihtiyacı erişimi gerekçe kılmadıkça metadata adresleri ve yönetim ağları engellenmelidir.

Modüller ve reload yolu

Modül yapılandırması da önemlidir. Bir modül; protokolü, TLS davranışını, yönlendirme (redirect) işlemeyi, tercih edilen IP protokolünü, header'ları ve sorgularda kullanılan kimlik doğrulamayı tanımlar. Yönlendirmeleri geniş biçimde takip eden bir modül, nominal olarak güvenilir bir hedefi istem dışı bir istek zincirine dönüştürebilir ve bir modülün içine gömülü istemci kimlik bilgileri yalnızca hedef servise göre kapsamlanmalıdır.

/-/reload endpoint'i ayrı ele alınıyor. README'ye göre yapılandırma reload'u bir process sinyaliyle ya da o yola yapılacak bir HTTP POST ile tetiklenebilir. Yapılandırma dosyasını düzenleyebilen ya da reload yoluna erişebilen kimlik doğrulamasız bir çağırıcı, sorgulama davranışını değiştirebilir; bu yüzden yazı, hem yazma erişiminin hem de reload erişiminin yönetimsel kontroller olarak ele alınması gerektiğini savunuyor.

Kendi kurulumunuzu denetlemek

İnternette görünen sunucular için yazar, başlığa dayalı aday listesinden başlamayı, exporter'ı onaylı bir ağdan zararsız bir istekle doğrulamayı ve yazılı yetki olmadan iç hedefleri asla yoklamamayı öneriyor. Sahip olduğunuz kurulumlar için kontrol listesi şudur: kimlik doğrulamasız bir /probe isteğinin reddedildiğini doğrulayın; egress politikasının onaylı listenin dışındaki bir hedefi engellediğini doğrulayın; reload yolunu test edin; ve kayıtlarda hedef, modül, yanıt kodu ve istek yapanın kimliği açısından inceleme yapın, kayıtların kendilerinin sorgulama kimlik bilgilerini açığa çıkarmadığından emin olun.

Neden önemli

Burada Blackbox Exporter'da bir hata yok; risk, nasıl dağıtıldığında yatıyor. İzleme ajanları tasarımdan ayrıcalıklıdır; dışarıdaki bir saldırganın göremeyeceği şeyleri görebilen ağlarda dururlar ve kimlik doğrulamasız bir probe endpoint'i bu ayrıcalığı bedava bir aktarıcıya dönüştürür. dev.to yazısı faydalı bir ayrım yapıyor: sıkı filtrelenmiş bir ağdan sabit, incelenmiş bir hedef kümesini yoklayan bir izleyici ile, bir yabancının dediği her yere bağlanan izleyici aynı şey değildir.