CVE-2022-36062
Açıklama
Grafana, izleme ve gözlemlenebilirlik için açık kaynaklı bir platformdur. 8.5.13, 9.0.9 ve 9.1.6 öncesindeki sürümlerde Grafana, yalnızca Admin izninin kullanıldığı bazı klasörlerde yetki yükseltmeye yol açan Hatalı İzin Koruma sorununa maruz kalmaktadır. Bu güvenlik açığı, RBAC'nin önce devre dışı bırakılıp ardından etkinleştirildiği Grafana örneklerini etkilemektedir; çünkü eski klasör izinlerini RBAC izinlerine dönüştüren migrasyonlar, klasördeki tek kullanıcı izninin Admin olduğu senaryoyu hesaba katmamaktadır. Sonuç olarak RBAC, Editor ve Viewer rolleri için ilgili klasörleri düzenlemelerine ve görüntülemelerine olanak tanıyan izinler eklemektedir. Bu sorun 8.5.13, 9.0.9 ve 9.1.6 sürümlerinde düzeltilmiştir. Etkilenen klasör veya dashboard biliniyorsa, geçici çözüm olarak ek izinlerin manuel olarak kaldırılması önerilir.
Nasıl düzeltilir
- grafana grafana8.5.13, 9.0.9, 9.1.6 ya da sonraki bir sürüm
- github.com/grafana/grafana8.5.13, 9.0.9, 9.1.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| grafana grafana | v < 8.5.13, 9.0.0 ≤ v < 9.0.9, 9.1.0 ≤ v < 9.1.6 | 8.5.13, 9.0.9, 9.1.6 |
| github.com/grafana/grafanaGo | 8.5.0 ≤ v < 8.5.13, 9.0.0 ≤ v < 9.0.9, 9.1.0 ≤ v < 9.1.6, Aralık belirtilmemiş | 8.5.13, 9.0.9, 9.1.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.