CVE-2023-0507
Açıklama
Grafana, izleme ve gözlemlenebilirlik için açık kaynaklı bir platformdur. 8.1 dalı ile başlayan Grafana'da, çekirdek eklenti GeoMap'i etkileyen saklı bir XSS zafiyeti bulunmaktaydı. Saklı XSS zafiyeti, harita atıflarının uygun şekilde temizlenmemesi nedeniyle mümkün olmuş ve Grafana örneğinin mevcut yetkili kullanıcısının bağlamında rastgele JavaScript çalıştırılmasına izin vermiştir. Bir saldırganın, bir paneli JavaScript içeren bir harita atfı içerecek şekilde değiştirebilmesi için Editor rolüne sahip olması gerekir. Bu durum, dikey yetki yükseltmenin mümkün olduğu anlamına gelir; böylece Editor rolündeki bir kullanıcı, Admin rolündeki bir kullanıcı bir panoyu görüntülerken kötü amaçlı JavaScript çalıştırdığında, Admin rolündeki kullanıcının şifresini bilinen bir şifreyle değiştirebilir. Kullanıcılar, düzeltmeyi almak için 8.5.21, 9.2.13 ve 9.3.8 sürümlerine yükseltebilirler.
Nasıl düzeltilir
- grafana grafana8.5.21, 9.2.13, 9.3.8 ya da sonraki bir sürüm
- github.com/grafana/grafana8.5.21, 9.2.13, 9.3.8 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| grafana grafana | 8.1.0 ≤ v < 8.5.21, 9.2.0 ≤ v < 9.2.13, 9.3.0 ≤ v < 9.3.8 | 8.5.21, 9.2.13, 9.3.8 |
| github.com/grafana/grafanaGo | 8.1.0 ≤ v < 8.5.21, 9.0.0 ≤ v < 9.2.13, 9.3.0 ≤ v < 9.3.8 | 8.5.21, 9.2.13, 9.3.8 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.