CVE-2025-41115
Təsvir
Təşkilatların Grafana-da istifadəçiləri və komandaları idarəetmə prosesini təkmilləşdirmək üçün avtomatlaşdırılmış istifadəçi həyat dövrünün idarə edilməsini tətbiq edən SCIM provizioninqi aprel ayında Grafana Enterprise və Grafana Cloud-a əlavə edilmişdir. SCIM provizioninqinin aktiv olduğu və konfiqurasiya edildiyi Grafana 12.x versiyalarında, istifadəçi kimliyinin emalındakı zəiflik bədniyyətli və ya ələ keçirilmiş SCIM klientinə rəqəmsal externalId ilə istifadəçi təyin etməyə imkan verir ki, bu da öz növbəsində daxili istifadəçi ID-lərinin dəyişdirilməsinə səbəb ola bilər və şəxsiyyətin saxtalaşdırılmasına (impersonation) və ya imtiyazların yüksəldilməsinə gətirib çıxara bilər. Bu zəiflik yalnız aşağıdakı şərtlərin hamısı ödənildikdə aktualdır: - `enableSCIM` feature flag-i true olaraq təyin edilibsə - `[auth.scim]` blokundakı `user_sync_enabled` konfiqurasiya seçimi true olaraq təyin edilibsə
Necə düzəltmək olar
- grafana grafana12.2.1 və ya daha yeni versiya
- github.com/grafana/grafana12.0.7, 12.1.4, 12.2.2, 1.9.2-0.20251106142618-ca5d89812015 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| grafana grafana | 12.0.0 ≤ v < 12.2.1 | 12.2.1 |
| github.com/grafana/grafanaGo | 12.0.0 ≤ v < 12.0.7, 12.1.0 ≤ v < 12.1.4, 12.2.0 ≤ v < 12.2.2, 1.9.2-0.20250310110405-e6fdb746f235 ≤ v < 1.9.2-0.20251106142618-ca5d89812015, 1.9.2-0.20250310110405-e6fdb746f235 ≤ v | 12.0.7, 12.1.4, 12.2.2, 1.9.2-0.20251106142618-ca5d89812015 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.