CVE-2026-9703
Təsvir
Grafana-nın məlumat mənbəyi proksisi Loki məlumat mənbələrinə yönləndirilən yazma sorğularına rol əsaslı giriş nəzarətini (RBAC) tətbiq etmir. Təsirə məruz qalan Grafana instansiyasında yalnız Viewer roluna malik olan istifadəçi proksi vasitəsilə Loki qaydalar API-na (/loki/api/v1/rules) POST, PUT və DELETE sorğuları göndərə bilər ki, bu da onlara Loki xəbərdarlıq qaydalarını yaratmaq, dəyişdirmək və silmək imkanı verir. Bu qaydalar Grafana tərəfindən deyil, Loki tərəfindən saxlandığı üçün dəyişiklik təkcə sorğunu göndərən Viewer üçün deyil, həmin Loki məlumat mənbəyinin bütün istifadəçiləri üçün qüvvəyə minir. İstismar üçün Grafana instansiyasında autentifikasiya olunmuş Viewer hesabı və konfiqurasiya edilmiş Loki məlumat mənbəyi tələb olunur; başqa heç bir imtiyaz lazım deyil. Həm Grafana OSS, həm də Grafana Enterprise təsirlidir. Qüsur Grafana-nın məlumat mənbəyi proksisindədir; Lokinin özü zəifliyə malik deyil və yamalanmasına ehtiyac yoxdur.
Necə düzəltmək olar
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Grafana Grafana Enterprise | 8.0.0 ≤ v ≤ 11.5.10, 11.6.0 ≤ v ≤ 11.6.16, 12.0.0 ≤ v ≤ 12.1.10, 12.2.0 ≤ v ≤ 12.2.10, 12.3.0 ≤ v ≤ 12.3.8, 12.4.0 ≤ v ≤ 12.4.5, 13.0.0 ≤ v ≤ 13.0.3 | — |
| Grafana Grafana OSS | 12.3.0 ≤ v ≤ 12.3.8, 12.4.0 ≤ v ≤ 12.4.5, 8.0.0 ≤ v ≤ 12.3.0, 13.0.0 ≤ v ≤ 13.0.3 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.