Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • Yama var
  • CWE-287

CVE-2021-39226

Grafana'da anlık görüntü (snapshot) erişiminde kimlik doğrulama atlatma

grafana

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
22 Eki 2025
Açık yaşı
1849 gün
Kaydı açan
GitHub_M
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 25 Ağu 2022 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 15 Eyl 2022.

Yönetici özeti

Grafana'daki bu kritik açık, yetkisiz kişilerin paylaşılan pano anlık görüntülerini okumasına ve silmesine imkân verebilir. Açığın aktif olarak istismar edildiği bilinmektedir (CISA KEV listesinde yer alır). Etkilenen sürümleri kullanan kurumların güncellemeyi gecikmeden yapması gerekir.

ÖzetTürkçe

Grafana'nın etkilenen sürümlerinde, kimliği doğrulanmış veya doğrulanmamış kullanıcılar, veritabanı anahtarı en düşük olan anlık görüntüyü (snapshot) literal yollar üzerinden görüntüleyebilir. Snapshot "public_mode" ayarı true ise kimlik doğrulaması yapmayan kullanıcılar da bu anlık görüntüyü silebilir; kimliği doğrulanmış kullanıcılar ise bu ayardan bağımsız olarak silebilir. Görüntüleme ve silme işlemlerinin birlikte kullanılmasıyla tüm snapshot verileri sırayla okunabilir ve sonunda tamamen silinir. Zafiyet, 8.1.6 ve 7.5.11 sürümlerinde giderilmiştir.

Saldırgan ne yapabilir?

Saldırgan, tüm snapshot verilerini tek tek okuyabilir ve bu işlem sonucunda snapshot verilerinin tamamının kalıcı olarak kaybolmasına neden olabilir.

Kaynaktaki açıklama (İngilizce)

Grafana is an open source data visualization platform. In affected versions unauthenticated and authenticated users are able to view the snapshot with the lowest database key by accessing the literal paths: /dashboard/snapshot/:key, or /api/snapshots/:key. If the snapshot "public_mode" configuration setting is set to true (vs default of false), unauthenticated users are able to delete the snapshot with the lowest database key by accessing the literal path: /api/snapshots-delete/:deleteKey. Regardless of the snapshot "public_mode" setting, authenticated users are able to delete the snapshot with the lowest database key by accessing the literal paths: /api/snapshots/:key, or /api/snapshots-delete/:deleteKey. The combination of deletion and viewing enables a complete walk through all snapshot data while resulting in complete snapshot data loss. This issue has been resolved in versions 8.1.6 and 7.5.11. If for some reason you cannot upgrade you can use a reverse proxy or similar to block access to the literal paths: /api/snapshots/:key, /api/snapshots-delete/:deleteKey, /dashboard/snapshot/:key, and /api/snapshots/:key. They have no normal function and can be disabled without side effects.

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Ne yapmalı?

  1. Grafana'yı düzeltilmiş sürüme yükseltin: 7.5.x kolunda 7.5.11, 8.x kolunda 8.1.6 veya daha yeni bir sürüm. Üretici
  2. CISA gereği, güncellemeleri satıcının talimatlarına göre uygulayın. CISA
  3. Snapshot "public_mode" ayarının varsayılan değeri olan false durumunda olduğunu doğrulayın. Genel öneri

Ek önlemler

  • Grafana arayüzünü mümkünse doğrudan internete açmayın; VPN veya ağ erişim kısıtlamaları ile koruyun. Genel öneri
  • Web sunucusu ve ters vekil günlüklerinde snapshot yollarına yönelik olağandışı ve tekrarlı istekleri izleyin. Genel öneri
  • Önemli snapshot verilerinin düzenli yedeğini alın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
grafana < 7.5.11 7.5.11

Kaynaklar11 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.