Podatności Grafana

Uwierzytelniony atakujący z dostępem Editor lub uprawnieniami alert.instances.external:write może przesłać zewnętrzny alert Alertmanager zawierający kontrolowany generatorURL. Grafana renderuje alert.generatorURL bezpośrednio jako href w LinkButton 'See source' bez sanityzacji schematu URL. Interceptor kliknięcia może zostać ominięty przez umieszczenie :// w komentarzu JavaScript. Gdy użytkownik z dostępem do odczytu kliknie 'See source', przeglądarka wykonuje kontrolowany JavaScript w kontekście Grafana z uprawnieniami klikającego użytkownika.

Podatność w źródle danych Snowflake umożliwia wykonywanie poleceń GET/PUT, co pozwala każdemu użytkownikowi mającemu dostęp do zapytań na odczytywanie i zapisywanie plików między lokalnym serwerem Grafana a podłączonym hostem Snowflake.

Łańcuchowy atak wykorzystujący wyrażenia SQL i wtyczkę Grafana Enterprise może prowadzić do zdalnego wykonania kodu (RCE). Podatność wymaga włączenia przełącznika funkcji sqlExpressions i dotyczy określonych wersji Grafana OSS.

W Grafana w wersjach 12.x, gdy włączone jest provisionowanie SCIM, podatność w obsłudze tożsamości użytkowników pozwala złośliwemu lub skompromitowanemu klientowi SCIM na provisionowanie użytkownika z numerycznym externalId, co może umożliwić nadpisanie wewnętrznych identyfikatorów użytkowników i prowadzić do podszycia się lub eskalacji uprawnień.

Grafana weryfikuje konta Azure AD na podstawie pola e-mail. Pole e-mail w profilu Azure AD nie jest unikalne i może być łatwo modyfikowane, co prowadzi do przejęcia konta i ominięcia uwierzytelnienia w przypadku skonfigurowania aplikacji wielo-tenantowej z OAuth Azure AD.

Użytkownik z uprawnieniami administratora organizacji może usuwać migawki pulpitu należące do innych organizacji w tej samej instancji Grafana oraz może odzyskać tajny klucz usuwania migawki, używając tylko jej publicznego klucza udostępniania (złamana kontrola dostępu).

Uwierzytelniony użytkownik z uprawnieniami do tworzenia lub edytowania reguł alertów może ominąć autoryzację zapytań do źródeł danych, oznaczając zapytanie reguły alertu jako wyrażenie po stronie serwera, jednocześnie odwołując się do prawdziwego identyfikatora UID źródła danych (nieprawidłowa autoryzacja). Może to ujawnić dane dostępne przez skonfigurowane poświadczenia źródeł danych Grafana użytkownikom, którzy nie mają uprawnień do zapytań do tego źródła danych.

Podatność dotyczy tylko instalacji Grafana z wieloma organizacjami. Użytkownik będący administratorem jednej organizacji może wywołać GET /api/access-control/users/permissions/search?actionPrefix=dashboards: i otrzymać dane uprawnień należące do innych organizacji. Ujawniane dane obejmują identyfikatory dashboardów i folderów oraz mapowania uprawnień użytkowników, ale nie treść dashboardów ani dane osobowe.

Endpoint testowy szablonów alertmanagera (/api/alertmanager/grafana/config/api/v1/templates/test) w Grafanie może wykonywać szablony bez ograniczeń pamięci. Masowe wykonywanie szablonów w krótkim czasie powoduje Out-of-Memory (OOM) i awarię usługi Grafana. Endpoint wymaga bardzo niskich uprawnień i jest eksploatowalny przy włączonym anonimowym dostępie.

Nieuwierzytelniony atakujący może wielokrotnie wywoływać trasę logowania OAuth w Grafanie z unikalnymi wartościami, powodując nieograniczony wzrost pamięci, co może doprowadzić do wyczerpania pamięci i awarii instancji Grafany (odmowa usługi).

Użytkownik z uprawnieniami edytora może stworzyć dashboard, którego panel tabeli (TableNG) zawiera złośliwą nazwę pola, która wykonuje się jako skrypt w przeglądarce każdego użytkownika przeglądającego dashboard (stored cross-site scripting).

W kilku punktach końcowych API Grafany, w tym niektórych nieuwierzytelnionych, nie ograniczono rozmiaru treści żądania przed jego przetworzeniem. Atakujący może wysyłać bardzo duże ładunki, które wymuszają nadmierną alokację pamięci, potencjalnie wyczerpując pamięć i powodując odmowę usługi.

Endpoint usuwania publicznych dashboardów nie wymusza izolacji organizacyjnej, co pozwala administratorowi jednej organizacji na usunięcie publicznego dashboardu należącego do innej organizacji poprzez podanie identyfikatorów docelowego dashboardu.

Podatność w panelu Geomap w Grafanie umożliwia użytkownikowi z uprawnieniami edytora wstrzyknięcie złośliwego skryptu do pola atrybucji warstwy kafelków XYZ za pomocą zmiennej szablonu. Skrypt wykonuje się w przeglądarce każdego użytkownika przeglądającego zmodyfikowany dashboard (trwałe cross-site scripting).

Podatność w SQL Expressions umożliwia uwierzytelnionemu atakującemu odczyt dowolnych plików z systemu plików serwera Grafana. Dotyczy to tylko instancji z włączoną funkcją sqlExpressions.

W funkcji korelacji (Correlations) w Grafanie wykryto podatność naruszającą izolację między dzierżawcami, dotyczącą starszych rekordów korelacji. Ze względu na warunek zgodności wstecznej, który pozwala na zwracanie rekordów z org_id = 0 między organizacjami, użytkownik z uprawnieniami zarządzania źródłami danych może odczytać i trwale usunąć starsze dane korelacji należące do innej organizacji. Problem dotyczy korelacji utworzonych przed wersją 10.2 i został naprawiony w wersjach >=11.6.11, >=12.0.9, >=12.1.6 i >=12.2.4.

Źródło danych testowych może być wykorzystane do wywołania awarii z powodu braku pamięci w Grafanie.

Zapytanie o ponowne próbkowanie może prowadzić do awarii z powodu braku pamięci w Grafanie.

Podatność w publicznych dashboardach i bezpośrednich źródłach danych ujawnia hasła wszystkich bezpośrednich źródeł danych, nawet jeśli nie są one używane w dashboardach. Hasła źródeł danych z proxy nie są ujawniane.

Podatność TOCTOU pozwala na ponowne usunięcie źródeł danych, które zostały niedawno usunięte i następnie odtworzone, bez odpowiednich uprawnień.

Podatność w API uprawnień dashboardu pozwala użytkownikowi z prawami zarządzania uprawnieniami na jednym dashboardzie na odczyt i modyfikację uprawnień na innych dashboardach. Wynika to z braku weryfikacji zakresu docelowego dashboardu oraz sprawdzania tylko akcji dashboards.permissions:*.

Podatność w Grafan polega na tym, że każde niebuforowane żądanie do /avatar/:hash tworzy nową gorutynę, która odświeża obraz Gravatar. Jeśli odświeżenie utknie w kolejce roboczej na dłużej niż trzy sekundy, handler kończy się z timeoutem i przestaje nasłuchiwać wyniku, przez co gorutyna blokuje się na zawsze, próbując wysłać dane przez niebuforowany kanał. Ciągły ruch z losowymi hashami powoduje stały wzrost liczby gorutyn, co prowadzi do wyczerpania pamięci i awarii Grafany na niektórych systemach.