CVE-2022-46156

Grafana'nın Synthetic Monitoring uygulaması için geliştirilen Synthetic Monitoring Agent, prob işlevselliği sağlar ve uzak hedefleri izlemek için ağ kontrolleri yürütür. Yerel ağlarında 0.12.0 sürümünden önceki Synthetic Monitoring agent sürümlerini çalıştıran kullanıcılar etkilenmektedir. Synthetic Monitoring API ile iletişim kurmak için kullanılan kimlik doğrulama belirteci (token), bir hata ayıklama uç noktası üzerinden ifşa edilmektedir. Bu belirteç, kullanıcı tarafından oluşturulan ve o belirteçle tanımlanan ajana atanan Synthetic Monitoring kontrollerini geri getirmek için kullanılabilir. Synthetic Monitoring API, halihazırda bağlı olan ajanlardan gelen bağlantıları reddedeceğinden, belirtece erişim sağlanması kontrollere erişimi garanti etmez. Sürüm 0.12.0 bir düzeltme içermektedir. Kullanıcıların ajan belirteçlerini yenilemeleri önerilir. v0.12.0 veya daha yeni bir sürüme yükseltme yaptıktan sonra, dağıtım paketlerini kullanan kullanıcıların `/etc/synthetic-monitoring/synthetic-monitoring-agent.conf` dosyasında saklanan yapılandırmayı, özellikle adı `SM_AGENT_API_TOKEN` olarak değiştirilen `API_TOKEN` değişkenini gözden geçirmeleri önerilir. Önceki sürümler için bir geçici çözüm olarak, kullanıcıların ajan ayarlarını gözden geçirmeleri ve `-listen-address` komut satırı parametresini kullanarak (örneğin `-listen-address localhost:4050`), HTTP dinleme adresini ifşayı sınırlayacak şekilde (örneğin localhost veya yönlendirilmeyen bir ağ) ayarlamaları önerilir.