🇰🇷 한글 설명
인증된 Grafana 사용자가 필요한 권한 없이 SSO 클라이언트 시크릿을 읽고 인스턴스 전체의 SSO 설정을 변경할 수 있습니다(권한 검증 누락). 이 문제는 기본적으로 비활성화된 실험적 기능 토글 kubernetesSsoSettingsApi가 활성화된 Grafana OSS 및 Enterprise 13.2 설치에 영향을 줍니다.
💡 쉬운 설명
로그인한 일반 사용자가 원래 접근할 수 없는 로그인 연동 설정과 비밀 키를 볼 수 있습니다. 실험 기능이 켜져 있는 경우에만 해당됩니다.
🇺🇸 원문 (English)
An authenticated user in Grafana can read SSO client secrets and modify instance-wide SSO settings without the required permissions (missing authorization). This affects Grafana OSS and Enterprise 13.2 installations with the experimental kubernetesSsoSettingsApi feature toggle enabled, which is disabled by default.
📍 영향받는 시스템
Grafana OSS 및 Enterprise 13.2 중 kubernetesSsoSettingsApi 실험 기능을 켠 설치본
⚔️ 공격 벡터
일반 인증 계정으로 로그인한 뒤 SSO 설정 API에 직접 요청해 클라이언트 시크릿을 조회하고 설정을 변경
🛡️ 대응 방법
Grafana를 패치된 버전으로 업그레이드하고, 그 전까지는 kubernetesSsoSettingsApi 기능 토글을 비활성화
🔧 검증 코드
설정 파일에 kubernetesSsoSettingsApi가 true로 지정되어 있고 버전이 13.2 계열이면 영향을 받으며, 기능이 없거나 false면 해당 없음
grep -rn 'kubernetesSsoSettingsApi' /etc/grafana/ 2>/dev/null; grafana-cli --version 2>/dev/null