🇰🇷 한글 설명
알림 규칙을 생성하거나 편집할 수 있는 권한을 가진 인증된 사용자가 서버 측 표현식을 사용하여 데이터 소스 쿼리 권한을 우회할 수 있습니다. 이를 통해 해당 데이터 소스에 대한 직접적인 쿼리 권한이 없는 사용자도 설정된 자격 증명을 통해 데이터에 접근할 수 있는 취약점이 존재합니다.
💡 쉬운 설명
알림을 만드는 권한이 있는 사람이 규칙을 교묘하게 설정하면, 원래 볼 수 없는 데이터까지 몰래 훔쳐볼 수 있는 문제입니다. 권한 설정의 허점을 이용해 데이터베이스에 접근하는 방식입니다.
🇺🇸 원문 (English)
An authenticated user with permission to create or edit alert rules can bypass datasource query authorization by marking an alert rule query as a server-side expression while referencing a real datasource UID (incorrect authorization). This can expose data accessible through Grafana's configured datasource credentials to users who lack permission to query that datasource.
📍 영향받는 시스템
Grafana (알림 규칙 생성/편집 권한이 있는 버전)
⚔️ 공격 벡터
알림 규칙의 쿼리를 서버 측 표현식으로 설정하고 실제 데이터 소스 UID를 참조하여 권한 검증을 우회함
🛡️ 대응 방법
Grafana를 최신 보안 패치가 적용된 버전으로 업데이트하고 데이터 소스에 대한 세밀한 RBAC 권한을 적용함
🔧 검증 코드
설치된 Grafana의 버전을 확인하여 취약점이 해결된 보안 패치 버전인지 대조함
grafana-server --version 2>/dev/null || dpkg -l | grep grafana
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access