CVE-2026-33374 Asignación de memoria sin límite en la API de conversión de reglas de Prometheus de Grafana
Los endpoints de la API de conversión de reglas de Prometheus en Grafana no limitan el tamaño del cuerpo de la petición, lo que permite a usuarios autenticados provocar asignaciones de memoria sin límite y dejar caído el servidor por falta de memoria.
CVSS 3.1
- Probabilidad de explotación0,4 %
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Grafana Grafana Enterprise
desde 12.0.0 hasta 12.3.11desde 12.4.0 hasta antes de 12.4.13desde 13.0.0 hasta antes de 13.0.11desde 13.1.0 hasta antes de 13.1.8desde 13.2.0 hasta antes de 13.2.4
Grafana Grafana OSS
desde 12.0.0 hasta 12.3.11desde 12.4.0 hasta antes de 12.4.13desde 13.0.0 hasta antes de 13.0.11desde 13.1.0 hasta antes de 13.1.8desde 13.2.0 hasta antes de 13.2.4
Qué hacer
- Verificá si usás Grafana Enterprise y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 6.5 MEDIA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadNinguna
- IntegridadNinguna
- DisponibilidadAlta
Descripción original
The Prometheus rule conversion API endpoints in Grafana do not limit request body size, allowing authenticated users to trigger unbounded memory allocations that can crash the server through out-of-memory conditions.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.