CVE-2026-72585 — Grafana: Correzione incompleta di CVE-2026-21724 consente al ruolo Editor di eliminare i contact point protetti

Prodotto: Grafana (Grafana Labs) — fino alla 13.2.0 File: pkg/services/ngalert/provisioning/contactpoints.go CWE: CWE-284 — Controllo degli accessi improprio CVSS 3.1: AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N — 6.5 (Medio) CNA: Turan Security · Registro CVE Correlato: CVE-2026-21724 (la correzione originale che questa aggira)

Descrizione

Una vulnerabilità di bypass dell'autorizzazione in Grafana fino alla 13.2.0 consente a un utente con ruolo Editor di eliminare i contact point protetti (destinatari delle notifiche di allarme) senza disporre del permesso alert.notifications.receivers.protected:write richiesto. Si tratta di una correzione incompleta del precedente advisory CVE-2026-21724, che ha introdotto il concetto di "contact point protetto" ma non ha applicato il controllo del permesso sul percorso di eliminazione.

Impatto

Un Editor — un ruolo esplicitamente pensato per avere meno privilegi dell'Admin sulla configurazione protetta degli allarmi — può eliminare i contact point contrassegnati come protetti, silenziando o reindirizzando notifiche di allarme critiche (ad es. percorsi di escalation PagerDuty/Slack/email) senza il permesso elevato che la piattaforma dovrebbe richiedere per tale azione.

Riproduzione

1. Autenticarsi come utente in possesso solo del ruolo organizzativo Editor (non Admin e senza alert.notifications.receivers.protected:write).
2. Identificare un contact point contrassegnato come provisioned/protetto tramite l'API di provisioning:
   root@kitploit:~

   GET /api/v1/provisioning/contact-points
   Authorization: Bearer <editor token>
   

3. Inviare una richiesta di eliminazione per l'UID di quel contact point protetto:
   root@kitploit:~

   DELETE /api/v1/provisioning/contact-points/<uid>
   Authorization: Bearer <editor token>
   

4. L'eliminazione riesce nonostante all'Editor manchi alert.notifications.receivers.protected:write — il gestore di eliminazione in contactpoints.go non ricontrolla il permesso di scrittura sui contatti protetti che CVE-2026-21724 ha aggiunto per gli altri percorsi di mutazione.

Causa principale

Il controllo del permesso aggiunto per chiudere CVE-2026-21724 è stato applicato in modo incoerente tra i gestori di provisioning dei contact point — il percorso di eliminazione è stato tralasciato.

Raccomandazione di correzione

Applicare lo stesso controllo del permesso alert.notifications.receivers.protected:write al gestore di eliminazione che è stato applicato ai gestori di creazione/aggiornamento quando si è chiusa CVE-2026-21724.