🇰🇷 한글 설명
Azure Monitor 데이터 소스에 쿼리 권한이 있는 사용자가 리소스 프록시를 악용하여 Grafana가 필요로 하는 범위를 넘어 Azure Resource Manager API를 호출할 수 있습니다. 이 공격은 데이터 소스에 할당된 Azure ID를 대리 사용하여 수행되며, 그 영향은 해당 ID에 부여된 Azure 역할의 권한 범위 내로 제한됩니다.
💡 쉬운 설명
데이터를 조회할 권한만 있는 사용자가 시스템의 허점을 이용해 원래 허용되지 않은 다른 관리 기능까지 몰래 실행할 수 있는 문제입니다. 공격자가 사용할 수 있는 권한은 해당 시스템이 가진 권한의 범위 내로 제한됩니다.
🇺🇸 원문 (English)
A user with query access to an Azure Monitor data source can use its resource proxy to call Azure Resource Manager APIs beyond those Grafana needs, with the data source's Azure identity (unintended proxy). The impact is bounded by the Azure role granted to that identity.
📍 영향받는 시스템
Azure Monitor 데이터 소스를 사용하는 Grafana 환경
⚔️ 공격 벡터
데이터 소스의 리소스 프록시를 통한 Azure Resource Manager API의 비정상적 호출
🛡️ 대응 방법
데이터 소스에 할당된 Azure ID의 권한을 최소 권한 원칙(Least Privilege)에 따라 엄격히 제한하고 관련 보안 패치를 적용하십시오.
🔧 검증 코드
명령어 결과에 나타난 역할(Role)이 데이터 소스 운영에 꼭 필요한 최소한의 권한인지 확인하십시오.
az role assignment list --assignee <Azure_Identity_ID> --query '[].roleDefinitionName'