CVE-2022-23552
Təsvir
Grafana monitorinq və müşahidə üçün açıq mənbəli platformadır. 8.1 budağından başlayaraq və 8.5.16, 9.2.10 və 9.3.4 versiyalarından əvvəl Grafana-da əsas GeoMap plagininə təsir edən saxlanılan XSS zəifliyi mövcud idi. Saxlanılan XSS zəifliyi SVG fayllarının düzgün təmizlənməməsi və Grafana instansiyasının hazırda avtorizasiya olunmuş istifadəçisinin kontekstində ixtiyari JavaScript-in icrasına icazə verilməsi səbəbindən mümkün idi. Hücumçu paneli JavaScript ehtiva edən SVG faylına xarici URL daxil etmək və ya JavaScript ehtiva edən daxili SVG faylını yükləmək üçün `data:` sxemindən istifadə etmək üçün dəyişdirmək məqsədilə Editor roluna malik olmalıdır. Bu o deməkdir ki, şaquli imtiyazların yüksəldilməsi mümkündür: Editor roluna malik istifadəçi, Admin roluna malik istifadəçi dashboard-a baxarkən zərərli JavaScript icra edərsə, Admin roluna malik istifadəçinin məlum paroluna dəyişə bilər. İstifadəçilər düzəlişi əldə etmək üçün 8.5.16, 9.2.10 və ya 9.3.4 versiyasına yüksəldə bilərlər.
Necə düzəltmək olar
- grafana grafana8.5.16, 9.2.10, 9.3.4 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| grafana grafana | 8.1.0 ≤ v < 8.5.16, 9.0.0 ≤ v < 9.2.10, 9.3.0 ≤ v < 9.3.4 | 8.5.16, 9.2.10, 9.3.4 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.