Hogyan működik a sebezhetőség?
Az externalId egy külső azonosító, amellyel az identitáskezelő rendszer azonosítja a felhasználókat. A Grafana ezt a numerikus értéket közvetlenül a belső felhasználói azonosítóhoz (user.uid) társította. Így például az externalId „1” úgy értelmezhető, mintha egy létező adminisztrátor lépett volna be. Ez lehetőséget ad arra, hogy egy újonnan létrehozott felhasználó adminisztrátorként lépjen be a rendszerbe.
Érintett verziók, javítás és védekezés
A sebezhetőség a Grafana Enterprise 12.0.0 és 12.2.1 közötti verzióit érinti, ha az SCIM engedélyezve van. A Grafana OSS felhasználói nem érintettek, a Grafana Cloud – beleértve az Amazon Managed Grafana és az Azure Managed Grafana szolgáltatásokat – már megkapta a javítást. Az önállóan kezelt verziók adminisztrátorai a következő frissítésekkel védhetik ki a támadást: 12.3.0, 12.2.1, 12.1.3, illetve 12.0.6. Fontos mielőbb frissíteni, vagy kikapcsolni az SCIM-et, hogy elkerülhető legyen a jogosulatlan hozzáférés.
Gyors válasz a biztonsági résre
A hibát november 4-én fedezték fel egy belső audit során, és 24 órán belül javították. A Grafana Cloudban nem tapasztaltak visszaélést. A nyilvános biztonsági frissítés november 19-én jelent meg. Az elmúlt hónapban megnövekedett forgalmat észleltek korábbi útvonalbejárási hibák felkutatására, ami azt jelzi, hogy a támadók folyamatosan keresik az új sérülékenységeket az ilyen rendszerekben.
