CVE-2022-31097: Lỗ hổng cho phép nâng cao đặc quyền trong Grafana

[WhiteHat News #ID:2112]

Grafana, giải pháp nguồn mở giúp giám sát và phân tích dữ liệu, vừa được cập nhật để khắc phục lỗ hổng zero-day có mức độ nghiêm trọng cao cho phép kẻ tấn công nâng cao đặc quyền từ Editor lên Admin.

​

Lỗ hổng (CVE-2022-31097, điểm 7,3) là do xác thực đầu vào không đúng bằng tính năng Unified Alerting. Kẻ tấn công được xác thực từ xa có thể khai thác lỗ hổng này để đưa tập lệnh độc hại vào trang Web, tập lệnh này sẽ được thực thi trong trình duyệt Web của nạn nhân trong ngữ cảnh bảo mật của trang Web lưu trữ, sau khi trang được xem. Kẻ tấn công có thể sử dụng lỗ hổng để đánh cắp thông tin đăng nhập xác thực dựa trên cookie của nạn nhân.

Lỗ hổng này ảnh hưởng đến Grafana Alerting (trước đây được gọi là Unified Alerting khi được giới thiệu trong Grafana 8.0). Grafana Alerting được kích hoạt mặc định trong Grafana 9.0.

Thông tin chi tiết về lỗ hổng được công khai vào tháng 7 khi Grafana Labs tung ra các bản cập nhật cho các phiên bản bị ảnh hưởng, từ 8.0.0 đến 9.0.1.

“Vào ngày 25 tháng 11, một thành viên cộng đồng Grafana đã báo cáo lỗ hổng stored XSS trong Grafana Alerting. Thực tế, lỗ hổng này là được khai thác dựa trên CVE-2022-31097. Vì vấn đề này đã được công khai, chúng tôi coi đây là sự cố 0-day và sẽ ngay lập tức phát hành các bản vá”, Grafana cho biết.

Kẻ tấn công có thể khai thác CVE-2022-31097 để nâng cấp đặc quyền từ Editor lên Admin bằng cách lừa quản trị viên được xác thực nhấp vào liên kết.

Người dùng đang chạy bản cài đặt bị ảnh hưởng bởi các lỗi nói trên nên nâng cấp lên phiên bản mới nhất (9.3.0 hoặc 9.2.7) càng sớm càng tốt.

Theo Security Online​