CVE-2022-39229
Açıklama
Grafana; metrikler, günlükler ve izlemeler için açık kaynaklı bir veri görselleştirme platformudur. 9.1.8 ve 8.5.14 öncesindeki sürümler, bir kullanıcının başka birinin e-posta adresini kullanıcı adı olarak kaydederek diğer kullanıcının giriş denemesini engellemesine izin verir. Bir Grafana kullanıcısının kullanıcı adı ve e-posta adresi benzersiz alanlardır, yani hiçbir başka kullanıcı, başka bir kullanıcıyla aynı kullanıcı adına veya e-posta adresine sahip olamaz. Bir kullanıcı, kullanıcı adı olarak bir e-posta adresine sahip olabilir. Ancak giriş sistemi, kullanıcıların hem kullanıcı adı hem de e-posta adresi ile giriş yapmasına izin verir. Grafana'nın bir kullanıcının hem kullanıcı adı hem de e-posta adresiyle giriş yapmasına izin vermesi, `user_1`'in bir e-posta adresiyle kayıt olabildiği ve `user_2`'nin kendi kullanıcı adını `user_1`'in e-posta adresi olarak kaydedebildiği olağandışı bir durum yaratır. Bu durum, `user_1`'in şifresinin `user_2`'nin e-posta adresiyle eşleşmeyeceği için `user_1`'in uygulamaya giriş yapmasını engeller. 9.1.8 ve 8.5.14 sürümleri bir yama içermektedir. Bu sorun için herhangi bir geçici çözüm bulunmamaktadır.
Nasıl düzeltilir
- grafana grafana8.5.14, 9.1.8 ya da sonraki bir sürüm
- github.com/grafana/grafana8.5.14, 9.1.8 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| grafana grafana | v < 8.5.14, 9.0.0 ≤ v < 9.1.8 | 8.5.14, 9.1.8 |
| github.com/grafana/grafanaGo | v < 8.5.14, 9.0.0 ≤ v < 9.1.8, Aralık belirtilmemiş | 8.5.14, 9.1.8 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.