🇰🇷 한글 설명
Git Sync(프로비저닝) 연결에 대해 읽기 전용 권한만 가진 사용자나 서비스 계정이 상태 하위 리소스를 통해 연결 설정을 수정할 수 있는 권한 부여 오류가 발생합니다. Grafana 12.4 버전의 경우, 실험적 프로비저닝 기능 토글이 활성화된 경우에만 이 API가 노출되어 영향을 받습니다.
💡 쉬운 설명
읽기 권한만 있어야 하는 사용자가 시스템 설정을 몰래 바꿀 수 있는 보안 허점이 발견되었습니다. Grafana에서 특정 실험적 기능을 켜두었을 때 발생할 수 있는 문제입니다.
🇺🇸 원문 (English)
A user or service account with read-only access to Git Sync (provisioning) connections can modify a connection's configuration through its status subresource (incorrect authorization). On Grafana 12.4 the affected API is only available when the experimental provisioning feature toggle is enabled.
📍 영향받는 시스템
Grafana 12.4 (실험적 provisioning feature toggle가 활성화된 경우)
⚔️ 공격 벡터
읽기 전용 권한을 가진 계정으로 API의 status subresource에 접근하여 설정값 변경 시도
🛡️ 대응 방법
Grafana를 최신 보안 패치 버전으로 업데이트하거나, 사용하지 않는 경우 실험적 프로비저닝 기능을 비활성화하십시오.
🔧 검증 코드
출력된 Grafana 버전을 확인하여 12.4 버전인지, 그리고 실험적 기능이 활성화되어 있는지 점검하십시오.
curl -s http://localhost:3000/api/health | grep -i 'version' || echo 'Check Grafana version manually'