CVE-2026-72585 — Grafana: CVE-2026-21724의 불완전한 수정으로 Editor 역할이 보호된 contact point를 삭제할 수 있음

제품: Grafana (Grafana Labs) — 13.2.0까지 파일: pkg/services/ngalert/provisioning/contactpoints.go CWE: CWE-284 — 부적절한 접근 제어 CVSS 3.1: AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N — 6.5 (중간) CNA: Turan Security · CVE 기록 관련: CVE-2026-21724 (이 취약점이 우회하는 원래 수정)

설명

Grafana 13.2.0까지 존재하는 권한 부여 우회 취약점으로 인해 Editor 역할 사용자는 필수 권한인 alert.notifications.receivers.protected:write 없이 보호된 contact point(알림 수신자)를 삭제할 수 있습니다. 이는 이전 권고 CVE-2026-21724에 대한 불완전한 수정으로, 해당 권고에서 "보호된 contact point" 개념을 도입했지만 삭제 경로에 대한 권한 검사 적용을 누락했습니다.

영향

Editor — 보호된 알림 구성에 대해 Admin보다 낮은 권한을 갖도록 명시적으로 설계된 역할 — 는 플랫폼이 해당 작업에 요구해야 하는 상승된 권한 없이 보호됨으로 표시된 contact point를 삭제하여 중요한 알림(PagerDuty/Slack/이메일 에스컬레이션 경로 등)을 침묵시키거나 리디렉션할 수 있습니다.

재현

Editor 조직 역할만 보유한 사용자로 인증합니다(Admin이 아니며 alert.notifications.receivers.protected:write 권한도 없음).
provisioning API를 통해 provisioned/보호됨으로 표시된 contact point를 식별합니다:
```
GET /api/v1/provisioning/contact-points
Authorization: Bearer <editor token>
```
해당 보호된 contact point의 UID에 대한 삭제 요청을 전송합니다:
```
DELETE /api/v1/provisioning/contact-points/<uid>
Authorization: Bearer <editor token>
```
Editor가 alert.notifications.receivers.protected:write 권한이 없음에도 삭제가 성공합니다 — contactpoints.go의 삭제 핸들러는 CVE-2026-21724에서 다른 변경 경로에 추가된 보호된 쓰기 권한을 재확인하지 않습니다.

근본 원인

CVE-2026-21724를 해결하기 위해 추가된 권한 검사는 contact point provisioning 핸들러 전반에 걸쳐 일관되게 적용되지 않았습니다 — 삭제 경로가 누락되었습니다.

수정 권장 사항

CVE-2026-21724를 해결할 때 create/update 핸들러에 적용된 것과 동일한 alert.notifications.receivers.protected:write 권한 검사를 삭제 핸들러에도 적용하십시오.

CVE-2026-72585-PoC

인기