🇰🇷 한글 설명
인증된 사용자가 권한이 없는 폴더에 저장된 알림 규칙을 API 목록 엔드포인트를 통해 조회할 수 있는 취약점입니다. Grafana 13.1.0 버전부터 폴더 필터를 사용하여 조직 내 모든 알림 규칙을 노출시킬 수 있으나, 데이터 소스 자격 증명은 노출되지 않습니다.
💡 쉬운 설명
로그인한 사용자가 원래 볼 수 없는 다른 사람의 알림 설정 내용을 몰래 훔쳐볼 수 있는 문제입니다. 다만, 데이터베이스 비밀번호 같은 민감한 정보까지 직접 유출되는 것은 아닙니다.
🇺🇸 원문 (English)
An authenticated user can list alert rules stored in folders they are not allowed to read through the alert rules API list endpoint. When the set of folders the user may read was empty, the folder restriction was dropped and every alert rule in the organization was returned. From Grafana 13.1.0, any user can trigger this with a folder filter. The exposed data is rule configuration; data source credentials are not exposed.
📍 영향받는 시스템
Grafana 13.1.0 이상 버전
⚔️ 공격 벡터
인증된 사용자가 알림 규칙 API 호출 시 폴더 필터를 조작하여 권한 밖의 데이터를 요청
🛡️ 대응 방법
Grafana를 최신 보안 패치가 적용된 버전으로 업데이트
🔧 검증 코드
출력된 결과의 버전이 13.1.0 이상인지 확인하여 취약 여부를 판단합니다.
dpkg -l | grep grafana 2>/dev/null | grep -E '13\[\.\d+\.\d+\]'