漏洞概述

漏洞名称

Grafana 身份认证绕过漏洞

漏洞编号

QVD-2023-14458、CVE-2023-3128

公开时间

2023-06-22

影响对象数量级

十万级

奇安信评级

高危

CVSS 3.1分数

9.4

威胁类型

身份认证绕过

利用可能性

POC状态

未公开

在野利用状态

未发现

EXP状态

未公开

技术细节状态

已公开

危害描述:未经身份认证的远程攻击者利用此漏洞可以绕过身份验证接管Grafana账户,访问客户数据及敏感信息。

0漏洞详情

影响组件

Grafana是一个跨平台、开源的数据可视化网络应用程序平台。用户配置连接的数据源之后,Grafana可以在网络浏览器里显示数据图表和警告。该工具主要用于监控和分析Graphite、InfluxDB和Prometheus等。

漏洞描述

近日,奇安信CERT监测到Grafana 身份认证绕过漏洞(CVE-2023-3128),由于Grafana和 Azure AD 租户对于电子邮件地址的处理存在差异,未经身份认证的远程攻击者可以构造恶意请求利用该漏洞,成功利用此漏洞可以绕过身份认证接管Grafana 账户。目前此漏洞的技术细节已在互联网上公开,漏洞的现实威胁进一步上升。鉴于此漏洞影响较大,建议客户尽快做好自查及防护。

02 影响范围

影响版本

Grafana 10.0.x <= 10.0.1

Grafana 9.5.x <= 9.5.5

Grafana 9.4.x <= 9.4.13

Grafana 9.3.x <= 9.3.16

Grafana 9.2.x <= 9.2.20

Grafana 8.5.x <= 8.5.27

不受影响版本

Grafana >= 10.0.1

Grafana >= 9.5.5

Grafana >= 9.4.13

Grafana >= 9.3.16

Grafana >= 9.2.20

Grafana >= 8.5.27

其他受影响组件

03 处置建议

安全更新

升级版本至10.0.1、9.5.5、9.4.13、9.3.16、9.2.208.5.27及以上:

https://grafana.com/grafana/download

缓解措施

1.在Azure AD配置中添加allowed_groups配置。

2.在Azure AD中注册一个单租户应用程序。

04 参考资料

[1]https://grafana.com/blog/2023/06/22/grafana-security-release-for-cve-2023-3128/

声明:本文来自奇安信 CERT,版权归作者所有。文章内容仅代表作者独立观点,不代表安全内参立场,转载目的在于传递更多信息。如有侵权,请联系 anquanneican@163.com。