PT-2021-17773 · Grafana+2 · Grafana Enterprise+3
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
**Nome do software vulnerável e versões afetadas:
Grafana Enterprise versões 6.x a 6.7.5
Grafana Enterprise versões 7.x a 7.3.9
Grafana Enterprise versões 7.4.x a 7.4.4
Descrição:
A API HTTP de sincronização de equipes no Grafana Enterprise apresenta um problema de controle de acesso incorreto. Em instâncias do Grafana que utilizam um serviço de autenticação externo e têm o recurso EditorsCanAdmin habilitado, esse problema permite que qualquer usuário autenticado adicione grupos externos a qualquer equipe existente. Isso pode ser usado para conceder a um usuário permissões de equipe que ele não deveria ter.
Recomendações:
Para as versões 6.x a 6.7.5 do Grafana Enterprise, atualize para a versão 6.7.6 ou posterior.
Para as versões 7.x a 7.3.9 do Grafana Enterprise, atualize para a versão 7.3.10 ou posterior.
Para as versões 7.4.x a 7.4.4 do Grafana Enterprise, atualize para a versão 7.4.5 ou posterior.
Exploit
Correção
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Alt Linux
Grafana
Grafana Enterprise
Suse