Grafana SCIMalform (CVE-2025-41115)

Übersicht

Dieses Repo enthält meine Forschung zur Schwachstelle CVE-2025-41115 in der SCIM-Komponente von Grafana Enterprise. Es besteht aus einem Teststand mit verwundbarer Anwendung und Exploit-Code.

Referenzen

Nur ein paar nützliche Referenzen:

• NIST - NIST-Index
• Grafana Article - Originaler Blogbeitrag
• Gitlab - GitLab-Advisory
• Securityvulnerability.io - Schwachstellenseite auf secirutvulnerability.io

Grundursache

SCIM-Provisionierung funktioniert nur für Grafana Enterprise und Grafana Cloud.

In Grafana-Versionen 12.x+, bei denen die SCIM-Provisionierung konfiguriert ist, eine Sicherheitslücke in der Benutzeridentitätsverwaltung. Dies kann möglicherweise das Überschreiben interner Benutzer-IDs ermöglichen, was zu Identitätswechsel oder Privilegieneskalation führt.

Der Fehler existiert nur, wenn dies konfiguriert ist:

• Das Feature-Flag enableSCIM ist gesetzt.
• user_sync_enabled ist gesetzt.

Schau dir diesen Commit an, um die angewendeten Fixes zu sehen. Er fügt zusätzliche Prüfungen hinzu, die die ID-Kollisionen verhindern.

Wenn du tiefer in die SCIM-Sicherheitslücken eintauchen möchtest, empfehle ich dir dringend diesen Artikel von Doyensec. Er beschreibt das Konzept von SCIM und führt dich durch typische Sicherheitsprobleme.

Teststand

Der Teststand erfordert einen gültigen Grafana-Enterprise-Lizenzschlüssel. Ohne diesen werden die Konfigurationswerte zum Aktivieren von SCIM ignoriert. Füge deinen Schlüssel in ./stand/license.jwt ein.

Danach führe einfach Folgendes aus:

docker compose up -d

Dies zieht und startet eine verwundbare Grafana-Instanz.

Nachdem Grafana gestartet ist, führe ./stand/init.sh aus. Dies erstellt ein Dienstkonto und holt ein Token dafür. Es wird das Token ausgegeben.

Ausnutzung

Füge einfach das Token in ./exploit/resource/config.toml ein. Ändere bei Bedarf die Konfigurationswerte.

Danach führe einfach Folgendes aus:

cd exploit
uv run src/main.py

Viel Spaß beim Pwnen!

Credits

Erstellt von I3r1h0n.