Grafana身份认证绕过漏洞 (CVE-2023-3128) 安全风险通告

01 漏洞详情

影响组件

Grafana是一个跨平台、开源的数据可视化网络应用程序平台。用户配置连接的数据源之后，Grafana可以在网络浏览器里显示数据图表和警告。该工具主要用于监控和分析Graphite、InfluxDB和Prometheus等。

漏洞描述

近日，奇安信CERT监测到Grafana 身份认证绕过漏洞(CVE-2023-3128)，由于Grafana和 Azure AD 租户对于电子邮件地址的处理存在差异，未经身份认证的远程攻击者可以构造恶意请求利用该漏洞，成功利用此漏洞可以绕过身份认证接管Grafana 账户。目前此漏洞的技术细节已在互联网上公开，漏洞的现实威胁进一步上升。鉴于此漏洞影响较大，建议客户尽快做好自查及防护。

02 影响范围

影响版本

Grafana 10.0.x <= 10.0.1

Grafana 9.5.x <= 9.5.5

Grafana 9.4.x <= 9.4.13

Grafana 9.3.x <= 9.3.16

Grafana 9.2.x <= 9.2.20

Grafana 8.5.x <= 8.5.27

不受影响版本

Grafana >= 10.0.1

Grafana >= 9.5.5

Grafana >= 9.4.13

Grafana >= 9.3.16

Grafana >= 9.2.20

Grafana >= 8.5.27

其他受影响组件

无

03 处置建议

安全更新

升级版本至10.0.1、9.5.5、9.4.13、9.3.16、9.2.20 或8.5.27及以上：

https://grafana.com/grafana/download

缓解措施

1.在Azure AD配置中添加allowed_groups配置。

2.在Azure AD中注册一个单租户应用程序。

04 参考资料

[1]https://grafana.com/blog/2023/06/22/grafana-security-release-for-cve-2023-3128/

声明：本文来自奇安信 CERT，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。