CVE-2022-31107

Grafana, izleme ve gözlemlenebilirlik için açık kaynaklı bir platformdur. 5.3 ile 9.0.3 arasındaki sürümlerde, 8.5.9, 8.4.10 ve 8.3.10 sürümlerinde; giriş adı sağlayan yapılandırılmış bir OAuth IdP aracılığıyla bir Grafana örneğine giriş yapma yetkisine sahip kötü niyetli bir kullanıcının, söz konusu Grafana örneğindeki başka bir kullanıcının hesabını ele geçirmesi mümkündür. Bu durum; kötü niyetli kullanıcının OAuth üzerinden Grafana'ya giriş yapmaya yetkili olduğu, kötü niyetli kullanıcının harici kullanıcı kimliğinin henüz Grafana'da bir hesapla ilişkilendirilmediği, kötü niyetli kullanıcının e-posta adresinin henüz Grafana'da bir hesapla ilişkilendirilmediği ve kötü niyetli kullanıcının hedef kullanıcının Grafana kullanıcı adını bildiği durumlarda meydana gelebilir. Bu koşullar karşılandığında, kötü niyetli kullanıcı OAuth sağlayıcısındaki kullanıcı adını hedef kullanıcınınkiyle aynı şekilde ayarlayabilir ve ardından Grafana'ya giriş yapmak için OAuth akışını gerçekleştirebilir. Giriş sırasında harici ve dahili kullanıcı hesaplarının birbirine bağlanma şekli nedeniyle, yukarıdaki koşulların tamamı karşılanırsa kötü niyetli kullanıcı hedef kullanıcının Grafana hesabına giriş yapabilecektir. 9.0.3, 8.5.9, 8.4.10 ve 8.3.10 sürümleri bu sorun için bir yama içermektedir. Geçici bir çözüm olarak, ilgili kullanıcılar Grafana örneklerinde OAuth girişini devre dışı bırakabilir veya OAuth üzerinden giriş yapmaya yetkili tüm kullanıcıların Grafana'da e-posta adreslerine bağlı karşılık gelen bir kullanıcı hesabına sahip olduğundan emin olabilirler.