Grafana cảnh báo lỗ hổng nghiêm trọng trong Image Renderer

[WhiteHat Team]

Grafana Labs vừa phát hành bản vá bảo mật khẩn cấp cho plugin Image Renderer và Synthetic Monitoring Agent nhằm xử lý bốn lỗ hổng nghiêm trọng trong thư viện Chromium. Các lỗi này vốn được Chromium vá trước đó nhưng vẫn có thể bị khai thác trong môi trường Grafana. Nhà nghiên cứu Alex Chapman đã chứng minh được điều này qua chương trình bug bounty, buộc Grafana phải nhanh chóng phát hành bản cập nhật.

Các lỗ hổng bao gồm:

• CVE-2025-5959 (CVSS 8.8): type confusion trong V8, cho phép thực thi mã từ xa thông qua trang HTML độc hại
• CVE-2025-6554 (CVSS 8.1): type confusion trong V8, cho phép đọc và ghi bộ nhớ tùy ý
• CVE-2025-6191 (CVSS 8.8): tràn số nguyên trong V8, dẫn đến truy cập ngoài vùng nhớ
• CVE-2025-6192 (CVSS 8.8): use-after-free trong Chrome Metrics, có thể gây lỗi bộ nhớ heap khi xử lý HTML được thiết kế đặc biệt

Tất cả các lỗ hổng đều có điểm CVSS từ 8.1 đến 8.8, thuộc nhóm nghiêm trọng. Chúng có thể bị khai thác thông qua trang HTML độc hại để chiếm quyền kiểm soát hoặc làm hỏng bộ nhớ hệ thống.

Hai thành phần bị ảnh hưởng là Image Renderer (trước phiên bản 3.12.9) và Synthetic Monitoring Agent (trước phiên bản 0.38.3). Image Renderer là plugin phổ biến trong các hệ thống sản xuất, dùng để tạo dashboard dưới dạng hình ảnh cho báo cáo hoặc nhúng vào ứng dụng khác. Dù không được cài sẵn, plugin này có hàng triệu lượt tải và được sử dụng rộng rãi. Synthetic Monitoring Agent được dùng trong Grafana Cloud để kiểm thử hiệu năng từ nhiều vị trí mạng. Dù ít phổ biến hơn, thành phần này vẫn xuất hiện trong nhiều hệ thống có giá trị cao.

Cả hai đều tích hợp Chromium ở chế độ headless để render nội dung. Điều này khiến chúng chịu ảnh hưởng trực tiếp khi Chromium có lỗ hổng bảo mật.

Grafana khuyến nghị người dùng cập nhật ngay:

• Với Image Renderer và Synthetic Monitoring Agent:
  Chạy các lệnh sau để cập nhật:
  • grafana-cli plugins install grafana-image-renderer
  • docker pull grafana/grafana-image-renderer:3.12.9
  • docker pull grafana/synthetic-monitoring-agent:v0.38.3-browser
• Với người dùng Grafana Cloud và Azure Managed Grafana:
  Không cần hành động gì thêm vì hệ thống đã được vá tự động.

Sự cố lần này cho thấy một thành phần bên ngoài như Chromium có thể trở thành điểm yếu nếu không được cập nhật kịp thời. Với các hệ thống phụ thuộc vào rendering dashboard, việc chậm vá một plugin cũng có thể mở đường cho tấn công sâu vào toàn bộ hạ tầng giám sát.

Theo BleepingComputer​