🇰🇷 한글 설명
Grafana Enterprise 7.4.x(7.4.5 미만) 버전의 팀 동기화 HTTP API에서 잘못된 접근 제어 취약점이 발견되었습니다. 외부 인증 서비스를 사용하는 경우, 인증된 사용자가 기존 팀에 외부 그룹을 임의로 추가할 수 있어 권한 상승이 가능합니다.
💡 쉬운 설명
로그인한 사용자라면 누구나 다른 팀에 새로운 그룹을 마음대로 넣을 수 있는 보안 허점이 있습니다. 이를 통해 원래는 가질 수 없는 높은 권한을 몰래 얻어낼 수 있습니다.
🇺🇸 원문 (English)
The team sync HTTP API in Grafana Enterprise 7.4.x before 7.4.5 has an Incorrect Access Control issue. On Grafana instances using an external authentication service, this vulnerability allows any authenticated user to add external groups to existing teams. This can be used to grant a user team permissions that the user isn't supposed to have.
📍 영향받는 시스템
Grafana Enterprise 7.4.x (7.4.5 미만 버전)
⚔️ 공격 벡터
인증된 사용자가 팀 동기화 HTTP API를 호출하여 외부 그룹을 팀에 추가
🛡️ 대응 방법
Grafana Enterprise를 7.4.5 이상의 최신 버전으로 업데이트
🔧 검증 코드
Grafana API 또는 UI를 통해 설치된 버전이 7.4.5 미만인지 확인합니다.
curl -s http://<grafana-host>/api/health | grep -i 'version' || echo 'Check version via Grafana UI or package manager'