🇰🇷 한글 설명
Grafana OSS의 접근 제어 취약점으로 인해 조직 관리자가 서버 관리자 계정을 영구적으로 삭제할 수 있습니다. 이 취약점은 DELETE /api/org/users/ 엔드포인트에서 발생하며, 서버 관리자가 삭제될 경우 인스턴스에 대한 관리 권한을 완전히 상실할 수 있습니다.
💡 쉬운 설명
회사 내의 일반 관리자가 시스템 전체를 관리하는 최고 관리자 계정을 실수나 의도로 삭제할 수 있는 문제입니다. 만약 최고 관리자가 삭제되면 아무도 시스템을 관리할 수 없는 상태가 됩니다.
🇺🇸 원문 (English)
An access control vulnerability was discovered in Grafana OSS where an Organization administrator could permanently delete the Server administrator account. This vulnerability exists in the DELETE /api/org/users/ endpoint.
The vulnerability can be exploited when:
1. An Organization administrator exists
2. The Server administrator is either:
- Not part of any organization, or
- Part of the same organization as the Organization administrator
Impact:
- Organization administrators can permanently delete Server administrator accounts
- If the only Server administrator is deleted, the Grafana instance becomes unmanageable
- No super-user permissions remain in the system
- Affects all users, organizations, and teams managed in the instance
The vulnerability is particularly serious as it can lead to a complete loss of administrative control over the Grafana instance.
📍 영향받는 시스템
Grafana OSS (해당 취약점이 포함된 버전)
⚔️ 공격 벡터
조직 관리자 권한을 가진 사용자가 특정 API 엔드포인트를 호출하여 서버 관리자 계정을 삭제
🛡️ 대응 방법
Grafana 보안 패치를 적용하거나, 조직 관리자가 서버 관리자 계정에 접근하여 삭제할 수 없도록 권한 설정을 검토하십시오.
🔧 검증 코드
Grafana 서비스가 실행 중인지 확인하고, 현재 설치된 버전을 확인하여 취약한 버전인지 대조하십시오.
curl -s -X GET http://localhost:3000/api/health | grep -i 'grafana'