🇰🇷 한글 설명
Grafana의 특정 API 엔드포인트에서 사용자 권한 검증이 제대로 이루어지지 않는 취약점이 발견되었습니다. 인증된 공격자는 권한이 없는 팀의 정보를 조회하거나 팀 검색을 통해 전체 팀 수를 파악하는 등 의도하지 않은 데이터에 접근할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 권한이 없는 다른 팀의 정보를 몰래 훔쳐볼 수 있는 보안 구멍이 발견되었습니다. 이로 인해 조직 내의 팀 구성원 정보나 팀의 존재 여부 같은 민감한 정보가 노출될 수 있습니다.
🇺🇸 원문 (English)
Grafana is an open-source platform for monitoring and observability. Affected versions of Grafana expose multiple API endpoints which do not properly handle user authorization. `/teams/:teamId` will allow an authenticated attacker to view unintended data by querying for the specific team ID, `/teams/:search` will allow an authenticated attacker to search for teams and see the total number of available teams, including for those teams that the user does not have access to, and `/teams/:teamId/members` when editors_can_admin flag is enabled, an authenticated attacker can see unintended data by querying for the specific team ID. Users are advised to upgrade as soon as possible. There are no known workarounds for this issue.
📍 영향받는 시스템
Grafana (취약점이 해결된 최신 버전 미만 버전)
⚔️ 공격 벡터
인증된 공격자가 권한 검증이 미흡한 특정 API 엔드포인트(/teams/:teamId 등)에 직접 요청을 보내는 방식
🛡️ 대응 방법
Grafana를 보안 패치가 적용된 최신 버전으로 즉시 업그레이드하십시오.
🔧 검증 코드
출력된 Grafana 버전을 확인하여 취약점이 해결된 최신 버전인지 대조하십시오.
grafana-server --version 2>/dev/null || dpkg -l | grep grafana