Lector de archivos arbitrarios vía configuración de Alertmanager en Grafana Mimir (CVE-2026-81938)

El Alertmanager de Grafana Mimir cuenta con mecanismos de validación diseñados para rechazar configuraciones de receptores provistas por los inquilinos (tenants) que hacen referencia a archivos locales. Sin embargo, esta validación omitió dos configuraciones clave del cliente HTTP: http_headers.<name>.file y basic_auth.username_file. Esto permite que un usuario con privilegios para modificar su configuración apunte dichos campos a cualquier archivo del sistema operativo que sea legible por el proceso de Alertmanager.

Vector de Ataque:

Origen / Complejidad: red (Remoto) | Complejidad de ataque Baja.

Requisitos: requiere autenticación con privilegios bajos (permisos para escribir o actualizar la configuración de Alertmanager del propio inquilino). No requiere interacción del usuario.

Mecanismo: un atacante con acceso a la configuración de su receptor define campos maliciosos apuntando a ficheros internos sensibles. Cuando Alertmanager procesa y dispara una notificación HTTP hacia un servidor controlado por el atacante, lee el contenido del archivo local y lo inyecta directamente dentro de las cabeceras (headers) de la petición saliente, exfiltrando la información.

Impacto Estimado:

Confidencialidad: alta — Pérdida total de confidencialidad de los datos accesibles al proceso local. El atacante puede leer ficheros del host de Alertmanager, tales como credenciales, tokens o archivos de configuración.

Integridad: ninguna — No permite alterar ni modificar datos del sistema.

Disponibilidad: ninguna — No genera denegación de servicio de forma directa.

Impacto Negocio: exposición de secretos del sistema, claves de API o credenciales de infraestructura almacenadas en el servidor, comprometiendo la seguridad de otros componentes integrados en la plataforma multi-tenant.

Actualizar Grafana Mimir a las versiones 3.1.7 o 3.2.2 (o superiores).

Actualizar Grafana Enterprise Metrics (GEM) a la versión 2.17.20 o superior.

https://nvd.nist.gov/vuln/detail/cve-2026-81938