慢霧:Grafana 存在帳戶被接管和認證繞過漏洞,請相關方及時升級
ChainCatcher 消息,据慢霧消息,Grafana 發布嚴重安全提醒,其存在帳戶被接管和認證繞過漏洞(CVE-2023-3128),目前 PoC 在互聯網上公開,已出現攻擊案例。Grafana 是一個跨平台、開源的數據可視化網絡應用程序平台,用戶配置連接的數據源之後,Grafana 可以在網絡瀏覽器裡顯示數據圖表和警告。Grafana 根據電子郵件的要求來驗證 Azure Active Directory 帳戶。在 Azure AD 上,配置檔的電子郵件字段在 Azure AD 租戶之間是不唯一的。當 Azure AD OAuth 與多租戶 Azure AD OAuth 應用配置在一起時,這可能會使 Grafana 帳戶被接管和認證繞過。其中,Grafana >= 6.7.0 受到影響。加密貨幣行業有大量平台採用此方案用來監控伺服器性能情況,請注意風險,並將 Grafana 升級到最新版本。(來源鏈接)