CVE-2023-3128: Lỗ hổng chiếm tài khoản Grafana

[Marcus1337]

Gần đây, các chuyên gia đã phát hiện một lỗ hổng an ninh trong Grafana - một trong những nền tảng mã nguồn mở hàng đầu cho việc phân tích và trực quan hóa dữ liệu. Lỗ hổng được gán mã CVE-2023-3128 và được đánh giá điểm CVSS là 9.4/10. CVE có khả năng cho phép tin tặc qua mặt các thủ tục xác thực và chiếm quyền kiểm soát tài khoản của người dùng.

​

Grafana là một nền tảng mã nguồn mở cung cấp các công cụ phân tích và trực quan dữ liệu thân thiện với người dùng, phục vụ cho đa dạng người dùng từ các dự án quy mô nhỏ đến triển khai quy mô doanh nghiệp lớn. CVE-2023-3128 là lỗ hổng chiếm tài khoản hoặc vượt qua xác thực trong nền tảng này.

Tâm điểm của lỗ hổng này nằm ở quá trình xác thực của Grafana. Cụ thể là khi sử dụng kết hợp với OAuth Azure Active Directory (Azure AD), Grafana xác thực tài khoản Azure AD dựa trên email của quản trị viên. Đây là nguyên nhân gây ra lỗi. Hacker có thể giả mạo máy chủ Azure AD của nạn nhân bằng cách sử dụng cùng một địa chỉ email.

Hậu quả của lỗ hổng rất lớn và đáng lo ngại. Kẻ tấn công khai thác lỗ hổng an ninh này có thể kiểm soát hoàn toàn tài khoản của nạn nhân, đánh cắp các thông tin nhạy cảm của khách hàng và các thông tin quan trọng khác.

Lỗ hổng ảnh hưởng chủ yếu đến các triển khai Grafana sử dụng Azure AD OAuth được cấu hình với một ứng dụng Azure AD OAuth đa người dùng và không có cấu hình nhóm được phép. Nếu bạn đang chạy phiên bản Grafana 6.7.0 hoặc cao hơn thì cần phải thực hiện ngay các biện pháp cần thiết và cập nhật các bản vá sớm nhất có thể.

Đội ngũ Grafana đã nhanh chóng vá lỗ hổng trong các phiên bản 10.0.1, 9.5.5, 9.4.13, 9.3.16, 9.2.20 và 8.5.27. Nếu chưa thể thực hiện việc nâng cấp, người dùng có thể áp dụng các giải pháp giảm thiểu rủi ro có sẵn.

Theo securityonline​