- Yama var
- Son 7 gün
- CWE-22
CVE-2026-81938
Grafana Mimir ve GEM Alertmanager yapılandırmasında keyfi dosya okuma açığı
- Yayımlandı
- Güncellendi
- 2 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- GRAFANA
Yönetici özeti
Bu açık, çok kiracılı izleme altyapısında bir kullanıcının sunucudaki hassas dosyalara erişmesine olanak tanıyabilir ve şifre gibi kimlik bilgilerinin sızmasına yol açabilir. Etkilenen sistemler yüksek öncelikle güncellenmelidir. Yetkisiz erişim, veri güvenliği ve düzenleyici uyumluluk açısından ciddi iş riski oluşturur.
ÖzetTürkçe
Grafana Mimir'in Alertmanager bileşeni, kiracılar tarafından yüklenen alıcı (receiver) yapılandırmalarında yerel dosya referanslarını engelliyor; ancak http_headers.<name>.files ve basic_auth.username_file ayarları bu kontrolün dışında kalmış. Bu nedenle Mimir 3.0.4 ile 3.1.7 öncesi ve 3.2.0 ile 3.2.2 öncesi sürümler, Grafana Enterprise Metrics (GEM) ise 2.11 ile 2.17.20 öncesi sürümler etkilenmektedir. Kiracı yapılandırma yazma yetkisine sahip olmalıdır.
Saldırgan ne yapabilir?
Saldırgan, Alertmanager sürecinin okuyabildiği herhangi bir dosyanın içeriğini, kendi kontrolündeki bir sunucuya giden bildirim isteğinin başlığında ele geçirebilir. Bu yolla kimlik bilgileri ve yapılandırma dosyaları gibi hassas verilere erişilebilir.
Kaynaktaki açıklama (İngilizce)
Grafana Mimir's Alertmanager rejects tenant-supplied receiver configurations that reference local files, but the check did not cover two HTTP client settings: http_headers.<name>.files and basic_auth.username_file. A tenant permitted to upload an Alertmanager configuration could point these fields at any file readable by the Alertmanager process. When a notification was sent, Alertmanager read the file and put its contents in a header of the outgoing request. By directing the receiver at a server they control, the tenant could read files from the Alertmanager host, such as credentials and configuration.
Exploitation requires permission to write the tenant's Alertmanager configuration. Grafana Enterprise Metrics (GEM), which is built on Mimir, is also affected. The issue is fixed in Mimir 3.1.7 and 3.2.2 and in GEM 2.17.20. GEM 2.11 through 2.16 will not receive a fix; users on those versions should upgrade to 2.17.20 or later.
Ne yapmalı?
- Grafana Mimir'i 3.1.7 veya 3.2.2 sürümüne yükseltin; kullandığınız dal bu sürümlerden hangisiyle eşleşiyorsa o sürümü tercih edin. Üretici
- Grafana Enterprise Metrics (GEM) kullanıyorsanız 2.17.20 veya daha yeni bir sürüme yükseltin. Üretici
- GEM 2.11 ile 2.16 arasındaki sürümler için düzeltme yayımlanmayacaktır; bu sürümleri kullanan kurumların 2.17.20 veya üstüne geçmesi gerekir. Üretici
- Güncelleme yapılana kadar kiracıların Alertmanager yapılandırma yazma yetkilerini gözden geçirin ve yalnızca güvenilir kullanıcılara bu yetkiyi verin. Genel öneri
Ek önlemler
- Alertmanager sürecinin çalıştığı hesabın yalnızca gerekli dosyalara okuma erişimi olduğundan emin olun; kimlik bilgisi dosyalarının izinlerini sıkılaştırın. Genel öneri
- Giden bildirim isteklerinde beklenmeyen dış hedeflere yapılan bağlantıları izleyin ve gerekirse çıkış trafiğini kısıtlayın. Genel öneri
- Alertmanager yapılandırma değişikliklerini denetim kaydına alın ve şüpheli dosya yolu referanslarını inceleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler2 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Grafana Enterprise Metrics (GEM) | ≥ 2.11.0, ≤ 2.16.2 | – |
| ≥ 2.17.0, < 2.17.20 | 2.17.20 | |
| Grafana Mimir | ≥ 3.0.4, < 3.1.7 | 3.1.7 |
| ≥ 3.2.0, < 3.2.2 | 3.2.2 |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.