CVE-2026-72585 — Grafana: CVE-2026-21724の不完全な修正により、Editorロールが保護されたコンタクトポイントを削除できる

製品: Grafana (Grafana Labs) — 13.2.0まで ファイル: pkg/services/ngalert/provisioning/contactpoints.go CWE: CWE-284 — 不適切なアクセス制御 CVSS 3.1: AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N — 6.5 (中) CNA: Turan Security · CVEレコード 関連: CVE-2026-21724 (本脆弱性が迂回する元の修正)

説明

Grafana 13.2.0までの認可バイパスの脆弱性により、Editorロールのユーザーが、必要な alert.notifications.receivers.protected:write 権限を保持していなくても、保護されたコンタクトポイント（アラート通知の受信者）を削除できます。これは、以前のアドバイザリCVE-2026-21724の不完全な修正です。CVE-2026-21724は「保護されたコンタクトポイント」の概念を導入しましたが、削除パスでの権限チェックの実施が漏れていました。

影響

Editor（Adminよりも保護されたアラート設定に対して低い権限を持つことを明示的に意図されたロール）は、保護対象としてマークされたコンタクトポイントを削除し、プラットフォームがその操作に要求するはずの昇格された権限なしで、重要なアラート通知（例: PagerDuty/Slack/メールのエスカレーションパス）を無効化またはリダイレクトできます。

再現手順

Editor組織ロールのみを保持する（Adminではなく、かつ alert.notifications.receivers.protected:write 権限も持たない）ユーザーとして認証します。
プロビジョニングAPIを介して、provisioned/保護対象としてマークされたコンタクトポイントを特定します：
```
GET /api/v1/provisioning/contact-points
Authorization: Bearer <editor token>
```
その保護されたコンタクトポイントのUIDに対して削除リクエストを送信します：
```
DELETE /api/v1/provisioning/contact-points/<uid>
Authorization: Bearer <editor token>
```
Editorが alert.notifications.receivers.protected:write を欠いているにもかかわらず、削除は成功します — contactpoints.go の削除ハンドラーは、CVE-2026-21724が他の変更パスに対して追加した保護書き込み権限を再チェックしません。

根本原因

CVE-2026-21724を修正するために追加された権限チェックは、コンタクトポイントのプロビジョニングハンドラー全体に一貫して適用されていませんでした — 削除パスが見落とされていました。

修正の推奨事項

CVE-2026-21724の修正時にcreate/updateハンドラーに適用されたのと同じ alert.notifications.receivers.protected:write 権限チェックを、削除ハンドラーにも適用してください。

CVE-2026-72585-PoC

人気