Grafana 漏洞可导致管理员账户遭接管

 聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

研究人员提醒称，Grafana 的OAuth 登录功能中存在一个漏洞 (CVE-2022-31107)，可导致管理员账户遭接管。

该漏洞可导致攻击者访问 Grafana 开源分析平台上其它用户的账户。该漏洞是由 HTTPVoid 公司的研究员发现的，位于该平台的登录功能中，“可导致攻击者通过针对运行易受攻击 Grafana 平台的系统的管理员发动跨源攻击，提升权限。”攻击者因此可能获得对管理员账户的访问权限。

01

前提条件

OAuth 登录是一种认证协议，可使用户在无需密码的情况下批准两款应用程序之间的交互，例如使用一名用户的 Facebook 账户登录至另外一款app。

该攻击需要一些前提条件，例如攻击者必须通过配置的 OAuth IdP登录Grafana 实例，获得登录名称，从而接管该 Grafana 实例中另外一名用户的账户。

当满足如下条件时可发生上述攻击：

• 恶意用户获得授权，通过OAuth 登录至 Grafana。

• 恶意用户的外部用户ID 并未与 Grafana 中的账户相关联。

• 恶意用户的邮件地址并未与 Grafana 中的账户相关联。

• 恶意用户知道目标用户的 Grafana 用户名。

漏洞报告指出，“如果满足了这些条件，则恶意用户能够在该 OAuth 提供商中设置目标用户的用户名，之后通过 OAuth 流登录至 Grafana。鉴于登录过程中内外部用户账户关联的方式，如果以上条件均满足，则恶意用户能够等录至目标用户的 Grafana 账户。”

02

补丁已发布

研究团队成员 Harsh Jaiwal 表示，“这是在审计 Grafana 的源代码过程中发现的，找到漏洞本身并不难，但触及代码流确实要耗费一些时间。利用取决于配置。我认为属于中等难度。”

Jaiswal 指出，披露过程很顺利，Grafana 团队“迅速对漏洞进行分类，整个过程很顺利”。Jaiswal 提醒称，“从配置上看，该漏洞利用可导致认证绕过或权限提升。”

该漏洞位于 Grafana 版本5.3至9.0.3、8.5.9、8.4.10 和 8.3.10 中，现已在 9.0.3、8.5.9、8.4.10和8.3.10中修复。

漏洞报告指出，“作为应变措施，用户可禁用 Grafana实例的 OAuth 登录，或者确保所有有权通过OAuth 登录的用户在Grafana 拥有与邮件地址相关联的用户账户。”

代码卫士试用地址：https://codesafe.qianxin.com

开源卫士试用地址：https://oss.qianxin.com

---

推荐阅读

Grafana 中存在严重的未授权任意文件读取漏洞，已遭利用

在线阅读版：《2021中国软件供应链安全分析报告》全文

WG10正式启动！共话证券基金行业开源软件治理

原文链接

https://portswigger.net/daily-swig/grafana-patches-vulnerability-that-could-lead-to-admin-account-takeover

题图：Pixabay License‍

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~