CVE-2026-72585 — Grafana: CVE-2026-21724 का अधूरा सुधार Editor भूमिका को संरक्षित संपर्क बिंदुओं को हटाने की अनुमति देता है

उत्पाद: Grafana (Grafana Labs) — 13.2.0 तक फ़ाइल: pkg/services/ngalert/provisioning/contactpoints.go CWE: CWE-284 — अनुचित अभिगम नियंत्रण CVSS 3.1: AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N — 6.5 (मध्यम) CNA: Turan Security · CVE रिकॉर्ड संबंधित: CVE-2026-21724 (मूल सुधार जिसे यह बायपास करता है)

विवरण

Grafana 13.2.0 तक के संस्करणों में एक प्राधिकरण बायपास भेद्यता Editor भूमिका वाले उपयोगकर्ता को आवश्यक alert.notifications.receivers.protected:write अनुमति के बिना संरक्षित संपर्क बिंदुओं (अलर्ट अधिसूचना प्राप्तकर्ताओं) को हटाने की अनुमति देती है। यह पिछली सुरक्षा सलाह CVE-2026-21724 का अधूरा सुधार है, जिसने "संरक्षित संपर्क बिंदु" की अवधारणा पेश की थी, लेकिन हटाने (delete) पथ पर अनुमति जाँच लागू करना छूट गया।

प्रभाव

Editor — एक ऐसी भूमिका जिसका स्पष्ट उद्देश्य संरक्षित अलर्टिंग कॉन्फ़िगरेशन पर Admin से कम विशेषाधिकार होना है — संरक्षित के रूप में चिह्नित संपर्क बिंदुओं को हटा सकता है, जिससे महत्वपूर्ण अलर्ट अधिसूचनाएँ (जैसे PagerDuty/Slack/email एस्केलेशन पथ) मौन या पुनर्निर्देशित हो जाती हैं, बिना उस उन्नत अनुमति के जिसकी प्लेटफ़ॉर्म को उस कार्रवाई के लिए आवश्यकता होती है।

पुनरुत्पादन

1. केवल Editor संगठन भूमिका (Admin नहीं, और alert.notifications.receivers.protected:write के बिना) वाले उपयोगकर्ता के रूप में प्रमाणित करें।
2. प्रावधानिंग API के माध्यम से provisioned/संरक्षित के रूप में चिह्नित संपर्क बिंदु की पहचान करें:
   root@kitploit:~

   GET /api/v1/provisioning/contact-points
   Authorization: Bearer <editor token>
   

3. उस संरक्षित संपर्क बिंदु के UID के लिए हटाने का अनुरोध भेजें:
   root@kitploit:~

   DELETE /api/v1/provisioning/contact-points/<uid>
   Authorization: Bearer <editor token>
   

4. Editor के पास alert.notifications.receivers.protected:write न होने के बावजूद विलोपन सफल होता है — contactpoints.go में हटाने वाला हैंडलर उस संरक्षित-लेखन अनुमति की पुनः जाँच नहीं करता जो CVE-2026-21724 ने अन्य उत्परिवर्तन पथों के लिए जोड़ी थी।

मूल कारण

CVE-2026-21724 को बंद करने के लिए जोड़ी गई अनुमति जाँच संपर्क-बिंदु प्रावधानिंग हैंडलरों में असंगत रूप से लागू की गई थी — हटाने (delete) का पथ छूट गया था।

सुधार अनुशंसा

CVE-2026-21724 को बंद करते समय create/update हैंडलरों पर लागू की गई वही alert.notifications.receivers.protected:write अनुमति जाँच हटाने वाले हैंडलर पर भी लागू करें।