Podatności Grafana

W Grafana OSS i Grafana Enterprise w wersji 12.4 brakuje autoryzacji, co pozwala użytkownikowi z dowolną rolą (nawet Viewer lub konto usługi bez uprawnień) na tworzenie, publikowanie zewnętrzne i usuwanie snapshotów dashboardów. Wersje wcześniejsze oraz Grafana 13 nie są dotknięte.

W Grafanie, użytkownik z rolą Editor może ustawić metadane dotyczące provisioningu plików (adnotacje grafana.app/managedBy, grafana.app/managerId i grafana.app/sourcePath) podczas tworzenia dashboardu przez API, ponieważ te pola były zapisywane bez sprawdzenia autoryzacji. Dashboard wygląda wtedy jak provisionowany i administratorzy nie mogą go już zaktualizować ani usunąć przez Grafana. Wpływ jest ograniczony do tej samej organizacji i nie ujawnia żadnych danych.

W Grafanie, uwierzytelniony użytkownik może wyświetlić listę reguł alertów przechowywanych w folderach, do których nie ma uprawnień odczytu, poprzez endpoint listy API reguł alertów. Gdy zestaw folderów, które użytkownik może czytać, był pusty, ograniczenie folderów było pomijane i zwracano wszystkie reguły alertów w organizacji. Od Grafana 13.1.0 każdy użytkownik może to wywołać za pomocą filtra folderów. Ujawnione dane to konfiguracja reguł; poświadczenia źródeł danych nie są ujawniane.

Uwierzytelniony użytkownik z uprawnieniami edycji w jednym folderze może przenieść panel biblioteki do innego folderu, w którym ma tylko uprawnienia do przeglądania, poprzez API elementów biblioteki lub równoważny zasób App Platform. Ścieżka aktualizacji nie sprawdzała uprawnień do tworzenia paneli biblioteki w folderze docelowym (nieprawidłowa autoryzacja). Żadne dane z folderu docelowego nie są ujawniane, a istniejąca zawartość nie może być zmieniona.

Wstrzymanie udostępnionego (publicznego) dashboardu nie odwołało jego tokenu dostępu dla punktów końcowych obsługujących dane bootstrapowe frontendu. Każdy posiadający link do wstrzymanego udostępnionego dashboardu mógł nadal bez uwierzytelnienia pobrać konfigurację źródeł danych dashboardu, w tym przechowywane poświadczenia dla źródeł danych używających dostępu przeglądarki (brak autoryzacji). Usunięcie udostępnionego dashboardu odwołuje token.

Podatność w źródle danych Snowflake umożliwia wykonywanie poleceń GET/PUT, co pozwala każdemu użytkownikowi mającemu dostęp do zapytań na odczytywanie i zapisywanie plików między lokalnym serwerem Grafana a podłączonym hostem Snowflake.

Łańcuchowy atak wykorzystujący wyrażenia SQL i wtyczkę Grafana Enterprise może prowadzić do zdalnego wykonania kodu (RCE). Podatność wymaga włączenia przełącznika funkcji sqlExpressions i dotyczy określonych wersji Grafana OSS.

W Grafana w wersjach 12.x, gdy włączone jest provisionowanie SCIM, podatność w obsłudze tożsamości użytkowników pozwala złośliwemu lub skompromitowanemu klientowi SCIM na provisionowanie użytkownika z numerycznym externalId, co może umożliwić nadpisanie wewnętrznych identyfikatorów użytkowników i prowadzić do podszycia się lub eskalacji uprawnień.

Eksperymentalna funkcja SQL Expressions w Grafanie pozwala na wykonywanie zapytań duckdb zawierających dane od użytkownika. Zapytania te są niewystarczająco oczyszczane przed przekazaniem do duckdb, co prowadzi do wstrzyknięcia poleceń i lokalnego włączenia plików. Każdy użytkownik z uprawnieniami VIEWER lub wyższymi może przeprowadzić ten atak, pod warunkiem że binarka duckdb znajduje się w $PATH Grafany (domyślnie nie jest instalowana).

Grafana weryfikuje konta Azure AD na podstawie pola e-mail. Pole e-mail w profilu Azure AD nie jest unikalne i może być łatwo modyfikowane, co prowadzi do przejęcia konta i ominięcia uwierzytelnienia w przypadku skonfigurowania aplikacji wielo-tenantowej z OAuth Azure AD.

Grafana od wersji 8.1 miała podatność typu stored XSS w rdzeniowym pluginie GeoMap. Atrybucje map nie były odpowiednio sanityzowane, co pozwalało na wykonanie dowolnego JavaScriptu w kontekście zalogowanego użytkownika. Atakujący z rolą Editor mógł zmienić panel, aby zawierał złośliwy JavaScript, co umożliwiało eskalację uprawnień do roli Admin.

Użytkownik z dostępem do odczytu logów serwera Grafana lub magazynu logów może odzyskać tokeny dostępu, odświeżania i ID użytkowników logujących się przez Generic OAuth, Google lub GitLab. Grafana zapisuje te tokeny w logach bez redakcji, gdy token nie jest prawidłowym JWT, gdy brakuje ID tokenu (na poziomie debug) lub gdy nie jest on ciągiem znaków. Ekspozycja jest ograniczona zakresami przyznanymi klientowi OAuth.

W Grafanie użytkownik mający dostęp do zapytań do źródła danych Azure Monitor może spowodować, że serwer wykona żądania do punktu końcowego kontrolowanego przez atakującego, co ujawni token dostępu Azure tego źródła danych (server-side request forgery).

W Grafanie użytkownik z rolą Viewer może zawiesić serwer, wysyłając spreparowane wyrażenie matematyczne po stronie serwera (niekontrolowana rekurencja). Użytkownik z uprawnieniami do provisionowania reguł alertów może spowodować, że awaria będzie się utrzymywać po restartach.

Uwierzytelniony użytkownik w Grafanie może odczytać sekrety klienta SSO i modyfikować ustawienia SSO całej instancji bez wymaganych uprawnień z powodu braku autoryzacji. Problem dotyczy instalacji Grafana OSS i Enterprise 13.2 z włączonym eksperymentalnym przełącznikiem funkcji kubernetesSsoSettingsApi, który jest domyślnie wyłączony.

Usługa RBAC w Grafanie ignorowała wskazany folder podczas sprawdzania, czy użytkownik jest administratorem folderu dla list usuniętych pulpitów. Użytkownik z uprawnieniami do zarządzania uprawnieniami pulpitów w dowolnym folderze mógł być traktowany jako administrator każdego folderu.

Proxy źródła danych Grafany nie stosowało kontroli dostępu opartej na rolach do żądań zapisu przekazywanych do źródeł danych Loki. Użytkownik z rolą Viewer mógł wysyłać żądania POST, PUT i DELETE przez proxy do API reguł Loki (/loki/api/v1/rules), tworząc, modyfikując i usuwając reguły alertów Loki. Ponieważ reguły są przechowywane przez Loki, zmiana działała dla wszystkich użytkowników tego źródła danych.

Serwer Git skonfigurowany w Grafana Git Sync (provisioning) może wyczerpać pamięć Grafany, zwracając odpowiedzi o zbyt dużym rozmiarze lub silnie skompresowane (niekontrolowane zużycie zasobów). Wykorzystanie wymaga, aby administrator skonfigurował Git Sync z tym serwerem.

Użytkownik z dostępem do zapytań w źródle danych Azure Monitor może wykorzystać jego proxy zasobów do wywoływania API Azure Resource Manager wykraczających poza potrzeby Grafany, używając tożsamości Azure tego źródła danych (niezamierzone proxy). Wpływ jest ograniczony przez rolę Azure przyznaną tej tożsamości.

Punkty końcowe API konwersji reguł Prometheus w Grafanie nie ograniczają rozmiaru treści żądania, co pozwala uwierzytelnionym użytkownikom wywołać nieograniczone alokacje pamięci i doprowadzić do awarii serwera z powodu braku pamięci.

Użytkownik lub konto usługi z dostępem tylko do odczytu do połączeń Git Sync (provisioning) może zmodyfikować konfigurację połączenia poprzez jego podzasób status (nieprawidłowa autoryzacja). W Grafanie 12.4 dotknięte API jest dostępne tylko po włączeniu eksperymentalnego przełącznika funkcji provisioning.

Grafana OSS i Grafana Enterprise nie bezpiecznie rozwiązują dowiązań symbolicznych podczas rozpakowywania archiwów wtyczek. Spreparowane archiwum może uciec z katalogu instalacji wtyczek, zapisując dowolne pliki i wykonywalny plik binarny poza nim, który następnie uruchamia się z uprawnieniami procesu Grafany.

Uwierzytelniony użytkownik z uprawnieniem do zapytań o źródło danych SQL może ominąć poprawkę dla CVE-2026-33375, wstrzykując makro timeGroup przez klauzulę WHERE, której parsowanie makr oparte na wyrażeniach regularnych w Grafanie nie odrzuca. Ocena wstrzykniętego makra powoduje niekontrolowane zużycie pamięci, co może doprowadzić do zatrzymania procesu serwera Grafana, skutkując odmową usługi. Dotyczy to źródeł danych Microsoft SQL Server, PostgreSQL i MySQL.

Podatność w Grafana (tylko instancje self-managed z Auth Proxy i włączonym buforowaniem tożsamości), gdzie klucz bufora Auth Proxy łączy nazwę użytkownika i atrybuty tożsamości bez separatora, co może powodować kolizje kluczy. Uwierzytelniony użytkownik może podszyć się pod innego użytkownika o wyższych uprawnieniach.

Użytkownik z uprawnieniami administratora organizacji może usuwać migawki pulpitu należące do innych organizacji w tej samej instancji Grafana oraz może odzyskać tajny klucz usuwania migawki, używając tylko jej publicznego klucza udostępniania (złamana kontrola dostępu).

Uwierzytelniony atakujący z dostępem Editor lub uprawnieniami alert.instances.external:write może przesłać zewnętrzny alert Alertmanager zawierający kontrolowany generatorURL. Grafana renderuje alert.generatorURL bezpośrednio jako href w LinkButton 'See source' bez sanityzacji schematu URL. Interceptor kliknięcia może zostać ominięty przez umieszczenie :// w komentarzu JavaScript. Gdy użytkownik z dostępem do odczytu kliknie 'See source', przeglądarka wykonuje kontrolowany JavaScript w kontekście Grafana z uprawnieniami klikającego użytkownika.

Uwierzytelniony użytkownik z uprawnieniami do tworzenia lub edytowania reguł alertów może ominąć autoryzację zapytań do źródeł danych, oznaczając zapytanie reguły alertu jako wyrażenie po stronie serwera, jednocześnie odwołując się do prawdziwego identyfikatora UID źródła danych (nieprawidłowa autoryzacja). Może to ujawnić dane dostępne przez skonfigurowane poświadczenia źródeł danych Grafana użytkownikom, którzy nie mają uprawnień do zapytań do tego źródła danych.

Podatność dotyczy tylko instalacji Grafana z wieloma organizacjami. Użytkownik będący administratorem jednej organizacji może wywołać GET /api/access-control/users/permissions/search?actionPrefix=dashboards: i otrzymać dane uprawnień należące do innych organizacji. Ujawniane dane obejmują identyfikatory dashboardów i folderów oraz mapowania uprawnień użytkowników, ale nie treść dashboardów ani dane osobowe.

Endpoint testowy szablonów alertmanagera (/api/alertmanager/grafana/config/api/v1/templates/test) w Grafanie może wykonywać szablony bez ograniczeń pamięci. Masowe wykonywanie szablonów w krótkim czasie powoduje Out-of-Memory (OOM) i awarię usługi Grafana. Endpoint wymaga bardzo niskich uprawnień i jest eksploatowalny przy włączonym anonimowym dostępie.

Nieuwierzytelniony atakujący może wielokrotnie wywoływać trasę logowania OAuth w Grafanie z unikalnymi wartościami, powodując nieograniczony wzrost pamięci, co może doprowadzić do wyczerpania pamięci i awarii instancji Grafany (odmowa usługi).

Użytkownik z uprawnieniami edytora może stworzyć dashboard, którego panel tabeli (TableNG) zawiera złośliwą nazwę pola, która wykonuje się jako skrypt w przeglądarce każdego użytkownika przeglądającego dashboard (stored cross-site scripting).

W kilku punktach końcowych API Grafany, w tym niektórych nieuwierzytelnionych, nie ograniczono rozmiaru treści żądania przed jego przetworzeniem. Atakujący może wysyłać bardzo duże ładunki, które wymuszają nadmierną alokację pamięci, potencjalnie wyczerpując pamięć i powodując odmowę usługi.

Endpoint usuwania publicznych dashboardów nie wymusza izolacji organizacyjnej, co pozwala administratorowi jednej organizacji na usunięcie publicznego dashboardu należącego do innej organizacji poprzez podanie identyfikatorów docelowego dashboardu.

Podatność w panelu Geomap w Grafanie umożliwia użytkownikowi z uprawnieniami edytora wstrzyknięcie złośliwego skryptu do pola atrybucji warstwy kafelków XYZ za pomocą zmiennej szablonu. Skrypt wykonuje się w przeglądarce każdego użytkownika przeglądającego zmodyfikowany dashboard (trwałe cross-site scripting).

Podatność w SQL Expressions umożliwia uwierzytelnionemu atakującemu odczyt dowolnych plików z systemu plików serwera Grafana. Dotyczy to tylko instancji z włączoną funkcją sqlExpressions.

W funkcji korelacji (Correlations) w Grafanie wykryto podatność naruszającą izolację między dzierżawcami, dotyczącą starszych rekordów korelacji. Ze względu na warunek zgodności wstecznej, który pozwala na zwracanie rekordów z org_id = 0 między organizacjami, użytkownik z uprawnieniami zarządzania źródłami danych może odczytać i trwale usunąć starsze dane korelacji należące do innej organizacji. Problem dotyczy korelacji utworzonych przed wersją 10.2 i został naprawiony w wersjach >=11.6.11, >=12.0.9, >=12.1.6 i >=12.2.4.

W systemie alertów Grafana użytkownicy z uprawnieniami do edycji punktów kontaktowych, takimi jak 'alert.notifications:write' lub 'alert.notifications.receivers:test' (przydzielanymi w ramach roli 'Contact Point Writer'), mogą edytować punkty kontaktowe utworzone przez innych użytkowników i zmieniać adres URL punktu końcowego na kontrolowany serwer. Wywołując funkcję testową, mogą przechwycić i wyodrębnić zredagowane ustawienia zabezpieczeń, takie jak poświadczenia uwierzytelniające do usług zewnętrznych (np. tokeny Slacka). Prowadzi to do nieautoryzowanego dostępu i potencjalnego naruszenia integralności zewnętrznych integracji.

Źródło danych testowych może być wykorzystane do wywołania awarii z powodu braku pamięci w Grafanie.

Zapytanie o ponowne próbkowanie może prowadzić do awarii z powodu braku pamięci w Grafanie.

Podatność w publicznych dashboardach i bezpośrednich źródłach danych ujawnia hasła wszystkich bezpośrednich źródeł danych, nawet jeśli nie są one używane w dashboardach. Hasła źródeł danych z proxy nie są ujawniane.

Podatność TOCTOU pozwala na ponowne usunięcie źródeł danych, które zostały niedawno usunięte i następnie odtworzone, bez odpowiednich uprawnień.

Podatność w API uprawnień dashboardu pozwala użytkownikowi z prawami zarządzania uprawnieniami na jednym dashboardzie na odczyt i modyfikację uprawnień na innych dashboardach. Wynika to z braku weryfikacji zakresu docelowego dashboardu oraz sprawdzania tylko akcji dashboards.permissions:*.

Podatność w Grafan polega na tym, że każde niebuforowane żądanie do /avatar/:hash tworzy nową gorutynę, która odświeża obraz Gravatar. Jeśli odświeżenie utknie w kolejce roboczej na dłużej niż trzy sekundy, handler kończy się z timeoutem i przestaje nasłuchiwać wyniku, przez co gorutyna blokuje się na zawsze, próbując wysłać dane przez niebuforowany kanał. Ciągły ruch z losowymi hashami powoduje stały wzrost liczby gorutyn, co prowadzi do wyczerpania pamięci i awarii Grafany na niektórych systemach.

W Grafanie przy włączonym buforowaniu zapytań do źródeł danych buforowane są wszystkie nagłówki, w tym grafana_session, co pozwala użytkownikowi wykonującemu zapytanie przejąć sesję innego użytkownika.

W Grafanie w wersjach przed 8.5.16 i 9.2.8 złośliwy użytkownik może utworzyć snapshot i dowolnie wybrać parametr originalUrl poprzez edycję zapytania dzięki proxy webowemu. Gdy inny użytkownik otworzy URL snapshotu, przycisk „Open original dashboard” prowadzi do wstrzykniętego przez atakującego adresu zamiast do prawdziwego panelu.

Grafana miała podatność stored XSS w pluginie GeoMap, ponieważ pliki SVG nie były prawidłowo sanityzowane i pozwalały na wykonanie dowolnego JavaScriptu w kontekście zalogowanego użytkownika. Atakujący z rolą Editor mógł zmienić panel tak, aby ładował zewnętrzny lub inline plik SVG z JavaScriptem, co umożliwiało eskalację uprawnień do roli Admin.

Grafana miała podatność polegającą na nieprawidłowym zachowaniu uprawnień, prowadzącą do eskalacji uprawnień w folderach, w których jedynym używanym uprawnieniem było Admin. Problem dotyczył instancji, w których RBAC było wyłączone, a następnie włączone, ponieważ migracje nie uwzględniały scenariusza z wyłącznie uprawnieniem Admin i dodawały uprawnienia edycji oraz przeglądania dla ról Editor i Viewer.