CVE-2022-31107

Grafana monitorinq və müşahidə üçün açıq mənbəli platformadır. 5.3 versiyasından 9.0.3, 8.5.9, 8.4.10 və 8.3.10 versiyalarına qədər, giriş adı təmin edən konfiqurasiya edilmiş OAuth IdP vasitəsilə Grafana instansiyasına daxil olmaq üçün avtorizasiyası olan zərərli istifadəçi həmin Grafana instansiyasındakı başqa istifadəçinin hesabını ələ keçirə bilər. Bu, zərərli istifadəçinin OAuth vasitəsilə Grafana-ya daxil olmaq üçün avtorizasiyası olduqda, zərərli istifadəçinin xarici istifadəçi id-si artıq Grafana-da hesabla əlaqələndirilmədikdə, zərərli istifadəçinin e-poçt ünvanı artıq Grafana-da hesabla əlaqələndirilmədikdə və zərərli istifadəçi hədəf istifadəçinin Grafana istifadəçi adını bildikdə baş verə bilər. Bu şərtlər yerinə yetirilərsə, zərərli istifadəçi OAuth provayderindəki istifadəçi adını hədəf istifadəçinin istifadəçi adına dəyişə, sonra Grafana-ya daxil olmaq üçün OAuth axınından keçə bilər. Giriş zamanı xarici və daxili istifadəçi hesablarının bir-biri ilə əlaqələndirilməsi üsuluna görə, yuxarıdakı şərtlərin hamısı yerinə yetirilərsə, zərərli istifadəçi hədəf istifadəçinin Grafana hesabına daxil ola biləcək. 9.0.3, 8.5.9, 8.4.10 və 8.3.10 versiyaları bu problem üçün düzəliş ehtiva edir. Alternativ həll olaraq, narahat olan istifadəçilər Grafana instansiyalarına OAuth girişini deaktiv edə və ya OAuth vasitəsilə daxil olmaq üçün avtorizasiyası olan bütün istifadəçilərin e-poçt ünvanları ilə əlaqələndirilmiş uyğun istifadəçi hesabına malik olmasını təmin edə bilərlər.