Grafana Enterprise डेटासोर्स नेटवर्क प्रतिबंध HTTP रीडायरेक्ट के माध्यम से बायपास
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:Nकम · अगले 30 दिन
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
Grafana निगरानी और अवलोकन (monitoring and observability) के लिए एक ओपन-सोर्स प्लेटफ़ॉर्म है। Grafana Enterprise में, Request security सुविधा allow list को इस तरह कॉन्फ़िगर करने की अनुमति देती है कि इंस्टेंस किसी भी होस्ट को कॉल न करे या केवल विशिष्ट होस्ट को ही कॉल करे। संस्करण 7.4.0-beta1 से शुरू होकर संस्करण 7.5.16 और 8.5.3 से पहले मौजूद यह भेद्यता किसी को इन सुरक्षा कॉन्फ़िगरेशन को बायपास करने की अनुमति देती है, यदि कोई दुर्भावनापूर्ण datasource (किसी अनुमत होस्ट पर चल रहा) किसी निषिद्ध होस्ट पर HTTP redirect लौटाता है। यह भेद्यता केवल Grafana Enterprise को प्रभावित करती है जब Request security allow list का उपयोग किया जाता है और Grafana में एक कस्टम datasource जोड़ने की संभावना होती है जो HTTP redirect लौटाता है। इस परिदृश्य में, Grafana बिना सोचे-समझे redirects का अनुसरण करेगा और संभावित रूप से क्लाइंट्स को सुरक्षित जानकारी दे सकता है। Grafana Cloud इस भेद्यता से प्रभावित नहीं है। संस्करण 7.5.16 और 8.5.3 में इस समस्या के लिए एक पैच शामिल है। वर्तमान में कोई ज्ञात workaround नहीं है।
Grafana एक ओपन-सोर्स प्लेटफ़ॉर्म है जो मॉनिटरिंग और ऑब्ज़र्वेबिलिटी के लिए है। Grafana Enterprise में, Request security सुविधा लिस्ट को इस तरह कॉन्फ़िगर करने की अनुमति देती है कि इंस्टेंस किसी भी होस्ट को कॉल न करे या केवल विशिष्ट होस्ट को ही कॉल करे। यह कमज़ोरी संस्करण 7.4.0-beta1 से शुरू होकर संस्करण 7.5 से पहले तक मौजूद है। CVE प्रोजेक्ट @Sn0wAlice द्वारा
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।