CVE-2022-24812
Təsvir
Grafana monitorinq və müşahidə üçün açıq mənbəli platformadır. Detallı giriş kontrolu aktiv edildikdə və müştəri sorğular göndərmək üçün Grafana API Key istifadə etdikdə, həmin API Key üçün icazələr müvafiq təşkilat üzrə 30 saniyə ərzində keşlənir. Keş ID-sinin quruluşu səbəbindən, hər hansı bir API Key ilə edilən növbəti sorğular əvvəlki sorğuların icazələri ilə eyni qiymətləndirilir. Bu, imtiyazların yüksəldilməsinə səbəb ola bilər; məsələn, birinci sorğu Admin icazələri ilə, ikinci sorğu isə fərqli API Key ilə Viewer icazələri ilə edildikdə, ikinci sorğu əvvəlki Admin-dən qalan keşlənmiş icazələri alacaq və beləliklə, olması gərəkəndən daha yüksək imtiyaza sahib olacaqdır. Zəiflik yalnız detallı giriş kontrolu beta funksiyası aktiv olduqda və bir təşkilatda fərqli rollar təyin edilmiş birdən çox API Key mövcud olduqda Grafana Enterprise versiyasına təsir edir. Grafana Enterprise v8.1.0-beta1 versiyasından sonrakı bütün quraşdırmalar mümkün qədər tez yenilənməlidir. Alternativ olaraq, detallı giriş kontrolunun deaktiv edilməsi zəifliyi aradan qaldıracaqdır.
Necə düzəltmək olar
- grafana grafana8.4.6 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| grafana grafana | 8.1.0 ≤ v < 8.4.6 | 8.4.6 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.