CVE-2026-55841
WysokieCVSS 7.5Streszczenie
Podatność w Graylog Server przed wersjami 6.3.12, 7.0.7 i 7.1.2 oraz Graylog Forwarder przed wersją 7.3. Parser syslog FortiGate nieprawidłowo obsługuje pola wewnątrz wartości cytowanych, co pozwala nieuwierzytelnionemu nadawcy na manipulację polami logów bezpieczeństwa lub unikanie logowania, ukrywając złośliwą aktywność.
Ocena ryzyka
Ryzyko manipulacji logami bezpieczeństwa i ukrycia ataków, co może prowadzić do niezauważonych naruszeń bezpieczeństwa.
Rekomendacja
Zaktualizuj Graylog Server do wersji 6.3.12, 7.0.7 lub 7.1.2 oraz Graylog Forwarder do wersji 7.3. Ogranicz dostęp do źródła syslog.
Inne podatności w Graylog
Zobacz wszystkie- CVE-2026-55867Średnie
Graylog w wersjach od 6.2.0 do 6.3.12, 7.0.7 i 7.1.2 ma podatność w endpointcie DELETE /users/{userId}/tokens/{idOrToken}, gdzie sprawdzane są uprawnienia USERS_TOKENREMOVE dla parametru userId kontrolowanego przez atakującego, zanim zostanie rozwiązany token wybrany przez idOrToken. Uwierzytelniony użytkownik może podać autoryzowany userId, podczas gdy loadById() lub load() rozwiązuje token należący do innego użytkownika, w tym konta usługowego lub administratora, po czym destroy() usuwa ten token bez sprawdzenia AccessToken.getUserName(). Problem nie ujawnia zawartości tokena, ale nieautoryzowane usunięcie ma wpływ na integralność i może zakłócić integracje oparte na tokenach.
- CVE-2026-55425Średnie
Graylog od wersji 7.1.0 do 7.1.4 oraz 7.2.0-alpha.2 pozwala uwierzytelnionemu użytkownikowi na żądanie złożonych pól wyświetlania w endpointcie tytułów encji System Catalog bez weryfikacji, czy każde wybrane pole jest czytelne. Użytkownik może pobrać chronione wartości, w tym hash hasła z czytelnego rekordu użytkownika; zwykli użytkownicy są ograniczeni do własnych rekordów, a administratorzy mogą pobrać hashe wszystkich użytkowników.
- CVE-2023-41045Niskie
Graylog, platforma do zarządzania logami, wykorzystuje jeden port źródłowy do zapytań DNS, co narusza zalecane praktyki bezpieczeństwa. To może umożliwić ataki typu DNS cache poisoning, gdzie zewnętrzny atakujący może wstrzykiwać fałszywe odpowiedzi DNS do pamięci podręcznej Grayloga.
- CVE-2023-41044Niskie
W Graylog występuje częściowa podatność na przejście ścieżki w funkcji `Support Bundle`, która pozwala atakującemu z ważnymi poświadczeniami roli Admin na pobieranie lub usuwanie plików w sąsiednich katalogach. Problem wynika z niewłaściwej walidacji danych wejściowych w zasobie API HTTP.
- CVE-2023-41041Niskie
W platformie Graylog, w przypadku klastrów wielowęzłowych, sesja użytkownika może być nadal używana do żądań API po wylogowaniu, aż do osiągnięcia pierwotnego czasu wygaśnięcia. Każdy węzeł utrzymuje lokalną pamięć podręczną sesji użytkowników, co prowadzi do sytuacji, w której inne węzły mogą nadal akceptować sesję po jej usunięciu z lokalnej pamięci podręcznej.
Oryginalny opis (angielski, źródło NVD)
Graylog is a free and open log management platform. Prior to Graylog Server versions 6.3.12, 7.0.7, and 7.1.2 and Graylog Forwarder version 7.3, the FortiGate key-value syslog parser in graylog2-server/src/main/java/org/graylog2/inputs/codecs/GLFortiGateSyslogEvent.java and graylog2-server/src/main/java/org/graylog2/inputs/codecs/SyslogCodec.java mishandles field-like text inside quoted values. GLFortiGateSyslogEvent.getFields() uses KV_PATTERN and QUOTED_KV_PATTERN, while SyslogCodec.parse() invokes the FortiGateSyslogEvent parser; crafted values containing = or backslash-escaped quotes can cause embedded keys such as srcip, dstip, date, time, and tz to remove or overwrite original top-level fields or produce an invalid message that Graylog discards. An unauthenticated network sender who can submit syslog messages can therefore manipulate security-log fields or evade logging to obscure malicious activity. This issue is fixed in Graylog Server versions 6.3.12, 7.0.7, and 7.1.2 and Graylog Forwarder version 7.3.