CVE-2025-41115
Açıklama
SCIM provizyonu, kuruluşların Grafana'daki kullanıcı ve ekip yönetimini otomatik kullanıcı yaşam döngüsü yönetimi getirerek iyileştirmek amacıyla Nisan ayında Grafana Enterprise ve Grafana Cloud'a eklenmiştir. SCIM provizyonunun etkinleştirildiği ve yapılandırıldığı Grafana 12.x sürümlerinde, kullanıcı kimliği işlemedeki bir güvenlik açığı, kötü niyetli veya ele geçirilmiş bir SCIM istemcisinin sayısal bir externalId ile kullanıcı provizyonu yapmasına olanak tanır; bu durum dahili kullanıcı kimliklerinin geçersiz kılınmasına yol açarak kimliğe bürünme veya yetki yükseltmeye neden olabilir. Bu güvenlik açığı yalnızca aşağıdaki koşulların tamamı karşılandığında geçerlidir: - `enableSCIM` özellik bayrağının true olarak ayarlanması - `[auth.scim]` bloğundaki `user_sync_enabled` yapılandırma seçeneğinin true olarak ayarlanması
Nasıl düzeltilir
- grafana grafana12.2.1 ya da sonraki bir sürüm
- github.com/grafana/grafana12.0.7, 12.1.4, 12.2.2, 1.9.2-0.20251106142618-ca5d89812015 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| grafana grafana | 12.0.0 ≤ v < 12.2.1 | 12.2.1 |
| github.com/grafana/grafanaGo | 12.0.0 ≤ v < 12.0.7, 12.1.0 ≤ v < 12.1.4, 12.2.0 ≤ v < 12.2.2, 1.9.2-0.20250310110405-e6fdb746f235 ≤ v < 1.9.2-0.20251106142618-ca5d89812015, 1.9.2-0.20250310110405-e6fdb746f235 ≤ v | 12.0.7, 12.1.4, 12.2.2, 1.9.2-0.20251106142618-ca5d89812015 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.