CVE-2022-21702

Grafana, izleme ve gözlemlenebilirlik için açık kaynaklı bir platformdur. Etkilenen sürümlerde bir saldırgan, Grafana veri kaynağı veya eklenti proxy'si üzerinden HTML içeriği sunabilir ve özel olarak hazırlanmış bir bağlantı kullanarak bir kullanıcıyı bu HTML sayfasını ziyaret etmeye ikna ederek siteler arası betik çalıştırma (XSS) saldırısı gerçekleştirebilir. Saldırgan, belirli bir Grafana örneği için mevcut bir veri kaynağını ele geçirebilir veya kendi genel hizmetini kurup herhangi birine bunu Grafana örneğinde kurmasını söyleyebilir. Etkilenmek için aşağıdaki durumların tamamı geçerli olmalıdır. Veri kaynağı proxy'si için: Erişim Modu Server olarak yapılandırılmış ve bir URL atanmış HTTP tabanlı bir Grafana veri kaynağı bulunmalı, saldırgan yukarıdaki veri kaynağının URL'sini sunan HTTP sunucusunun kontrolüne sahip olmalı ve saldırgan tarafından kontrol edilen veri kaynağına yönlendiren özel olarak hazırlanmış bir bağlantıya kimliği doğrulanmış bir kullanıcı tarafından tıklanmalıdır. Eklenti proxy'si için: Bir URL ile yapılandırılmış ve etkinleştirilmiş HTTP tabanlı bir Grafana uygulama eklentisi bulunmalı, saldırgan yukarıdaki uygulamanın URL'sini sunan HTTP sunucusunun kontrolüne sahip olmalı ve saldırgan tarafından kontrol edilen eklentiye yönlendiren özel olarak hazırlanmış bir bağlantıya kimliği doğrulanmış bir kullanıcı tarafından tıklanmalıdır. Arka uç eklenti kaynağı için: Bir saldırgan, hazırlanmış bir bağlantı aracılığıyla kimliği doğrulanmış bir kullanıcıyı ele geçirilmiş bir eklentiye yönlendirebilmelidir. Kullanıcıların yamalanmış bir sürüme güncellemeleri önerilir. Bu güvenlik açığı için bilinen bir geçici çözüm yoktur.