CVE-2026-28377

WysokieCVSS 7.5

Opublikowano: 26/03/2026(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 18/06/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.16%

Percentyl 5 - wyżej niż 5% wszystkich znanych CVE

Streszczenie

Podatność w Grafana Tempo ujawnia klucz szyfrowania S3 SSE-C w postaci niezaszyfrowanej przez punkt końcowy /status/config, co może pozwolić nieautoryzowanym użytkownikom na uzyskanie klucza używanego do szyfrowania danych śledzenia przechowywanych w S3.

Ocena ryzyka

Ujawnienie klucza szyfrowania może prowadzić do nieautoryzowanego dostępu do wrażliwych danych, co stwarza poważne zagrożenie dla bezpieczeństwa organizacji.

Rekomendacja

Zaleca się zablokowanie dostępu do punktu końcowego /status/config oraz przegląd konfiguracji zabezpieczeń, aby zapobiec ujawnieniu klucza szyfrowania.

Inne podatności w Grafana Tempo

CVE-2026-27878Średnie
Podatność w Grafana Tempo pozwala uwierzytelnionemu użytkownikowi na wykonanie zapytania TraceQL z dużą wartością wskazówki exemplars, co prowadzi do nadmiernego przydziału pamięci i awarii instancji Tempo z powodu braku pamięci.

Oryginalny opis (angielski, źródło NVD)

A vulnerability in Grafana Tempo exposes the S3 SSE-C encryption key in plaintext through the /status/config endpoint, potentially allowing unauthorized users to obtain the key used to encrypt trace data stored in S3. Thanks to william_goodfellow for reporting this vulnerability.