CVE-2022-21673
Açıklama
Grafana, izleme ve gözlemlenebilirlik için açık kaynaklı bir platformdur. Etkilenen sürümlerde, bir veri kaynağında Forward OAuth Identity özelliği etkinleştirildiğinde, söz konusu veri kaynağına bir API belirteciyle (ve başka hiçbir kullanıcı kimlik bilgisi olmadan) sorgu gönderilmesi, en son giriş yapmış kullanıcının OAuth Kimliğini iletir. Bu durum, API belirteci sahiplerinin erişim yetkisine sahip olmadıkları verileri elde etmelerine olanak tanıyabilir. Bu saldırı; Grafana örneğinin Forward OAuth Identity özelliğini destekleyen veri kaynaklarına sahip olmasına, Grafana örneğinde Forward OAuth Identity özelliğinin açık olduğu bir veri kaynağının bulunmasına, Grafana örneğinde OAuth'un etkinleştirilmiş olmasına ve Grafana örneğinde kullanılabilir API anahtarlarının bulunmasına dayanmaktadır. Bu sorun 7.5.13 ve 8.3.4 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- grafana grafana7.5.13, 8.3.4 ya da sonraki bir sürüm
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/HLAQRRGNSO5MYCPAXGPH2OCSHOGHSQMQ/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/2PFW6Q2LXXWTFRTMTRN4ZGADFRQPKJ3D/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/36GUEPA5TPSC57DZTPYPBL6T7UPQ2FRH/
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| grafana grafana | 7.2.0 ≤ v < 7.5.13, 8.0.0 ≤ v < 8.3.4 | 7.5.13, 8.3.4 |
| fedoraproject fedora | 34, 35, 36 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.