CVE-2026-11769

Grafana Operator'ın 5.24.0 sürümü yayınlanmıştır. Bu yama, Grafana Operator'daki bir path traversal/yetki yükseltme zafiyeti için ORTA seviyeli bir güvenlik düzeltmesi içermektedir. ### Özet Grafana Operator, dashboard ve kütüphane panellerinin jsonnet veri şablonlama dili kullanılarak yüklenmesini destekler. jsonnet ifadesi, operatör yönetici pod bağlamında değerlendirilir. ### Etki Bir Grafana örneği için Dashboard veya LibraryPanel kaynakları oluşturabilen kötü niyetli bir kullanıcının, Grafana Operator yöneticisinin Kubernetes servis hesabı belirtecini (service account token) elde etmesi mümkündür. ### Etkilenen sürümler Tüm Grafana Operator <= 5.23 sürümleri ### Çözümler ve hafifletme önlemleri Tüm kurulumlar mümkün olan en kısa sürede yükseltilmelidir. Geçici bir çözüm olarak, aşağıdaki ValidatingAdmissionPolicy jsonnet tabanlı kaynakların oluşturulmasını veya değiştirilmesini engeller: apiVersion: admissionregistration.k8s.io/v1 kind: ValidatingAdmissionPolicy metadata: name: "prevent-jsonnet-dashboards" spec: failurePolicy: Fail matchConstraints: resourceRules: - apiGroups: ["grafana.integreatly.org"] apiVersions: ["v1beta1"] operations: ["CREATE", "UPDATE"] resources: ["grafanadashboards", "grafanalibrarypanels"] validations: - expression: "!has(object.spec.jsonnetLib)" --- apiVersion: admissionregistration.k8s.io/v1 kind: ValidatingAdmissionPolicyBinding metadata: name: "prevent-jsonnet-dashboards-clusterwide" spec: policyName: "prevent-jsonnet-dashboards" validationActions: [Deny] ### Teşekkür Zafiyeti sorumlu bir şekilde bildirdiği için Artem Cherezov'a teşekkür ederiz.