Перейти к содержимому
Noroxi
CVE-2022-31107· NVD / CVE Program· CNA GitHub_M

Grafana account takeover via OAuth vulnerability

Grafana is an open-source platform for monitoring and observability. In versions 5.3 until 9.0.3, 8.5.9, 8.4.10, and 8.3.10, it is possible for a malicious user who has authorization to log into a Grafana instance via a configured OAuth IdP which provides a login name to take over the account of another user in that Grafana instance. This can occur when the malicious user is authorized to log in to Grafana via OAuth, the malicious user's external user id is not already associated with an account in Grafana, the malicious user's email address is not already associated with an account in Grafana, and the malicious user knows the Grafana username of the target user. If these conditions are met, the malicious user can set their username in the OAuth provider to that of the target user, then go through the OAuth flow to log in to Grafana. Due to the way that external and internal user accounts are linked together during login, if the conditions above are all met then the malicious user will be able to log in to the target user's Grafana account. Versions 9.0.3, 8.5.9, 8.4.10, and 8.3.10 contain a patch for this issue. As a workaround, concerned users can disable OAuth login to their Grafana instance, or ensure that all users authorized to log in via OAuth have a corresponding user account in Grafana linked to their email address.

ВысокаяCVSS 7.5 · v3.1—Эксплойта нет Есть исправление
Опубликовано
15 июл. 2022 г.
Обновлено
17 июн. 2026 г.
EPSS
2,7 % · 85-й процентиль
Следить за этой CVE

Войдите, чтобы следить · Вы получите уведомление, если запись попадёт в KEV, получит эксплойт или обновится.

Инструменты для отчёта

JSON

Оценка срочности

31

Наблюдать

Пока низкий приоритет.

CVSS
30 / 40 · 7.5 / 10
CISA KEV
0 / 30 · Нет в списке
EPSS
1 / 30 · 2,7 %

Решение CISA SSVC

Эксплуатация
нет
Автоматизируемо
нет
Техническое влияние
полное

Vulnrichment: входные данные дерева решений CISA.

Оценка CNA и NVD

NVD
7,5
CNA · GitHub_M
7,1
разница 0,4 балла

CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:L

Оценка присваивающего органа и независимая оценка NVD. Разрыв означает, что критичность спорна.

Затронутые системы

ВендорПродукт
grafanagrafana
netappe-series performance analyzer

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

  • grafana grafana5.3.0 и новее · до 8.3.10
  • grafana grafana8.4.0 и новее · до 8.4.10
  • grafana grafana8.5.0 и новее · до 8.5.9
  • grafana grafana9.0.0 и новее · до 9.0.3
  • netapp e-series performance analyzerвсе версии

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (GitHub_M). Не зависят от анализа CPE в NVD и обычно опережают его.

  • grafana grafana

    • >= 5.3, < 8.3.10, >= 8.4.0, < 8.4.10, >= 8.5.0, < 8.5.9, >= 9.0.0, < 9.0.3затронута

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

ЭкосистемаПакетЗатронутый диапазонИсправление
AlmaLinux:8grafanaдо 7.5.11-3.el8_67.5.11-3.el8_6
AlmaLinux:9grafanaдо 7.5.11-5.el9_07.5.11-5.el9_0
Gogithub.com/grafana/grafanaс 5.3.0-beta1 · до 8.3.108.3.10
Gogithub.com/grafana/grafanaс 8.4.0 · до 8.4.108.4.10
Gogithub.com/grafana/grafanaс 8.5.0 · до 8.5.98.5.9
Gogithub.com/grafana/grafanaс 9.0.0 · до 9.0.39.0.3
Gogithub.com/grafana/grafanaвсе версии—
openSUSE:Leap 15.3golang-github-prometheus-promuдо 0.13.0-150000.3.9.10.13.0-150000.3.9.1
openSUSE:Leap 15.4wireдо 0.5.0-150000.1.12.30.5.0-150000.1.12.3
openSUSE:Leap 15.4wireдо 0.5.0-150000.1.9.30.5.0-150000.1.9.3
openSUSE:Tumbleweedgrafanaдо 8.3.10-1.18.3.10-1.1
Red Hat:enterprise_linux:8::appstreamgrafanaдо 0:7.5.11-3.el8_60:7.5.11-3.el8_6
Red Hat:enterprise_linux:8::appstreamgrafana-debuginfoдо 0:7.5.11-3.el8_60:7.5.11-3.el8_6
Red Hat:enterprise_linux:9::appstreamgrafanaдо 0:7.5.11-5.el9_00:7.5.11-5.el9_0
Red Hat:enterprise_linux:9::appstreamgrafana-debuginfoдо 0:7.5.11-5.el9_00:7.5.11-5.el9_0
Red Hat:rhel_e4s:8.1::appstreamgrafanaдо 0:6.2.2-9.el8_10:6.2.2-9.el8_1
Red Hat:rhel_e4s:8.1::appstreamgrafana-azure-monitorдо 0:6.2.2-9.el8_10:6.2.2-9.el8_1
Red Hat:rhel_e4s:8.1::appstreamgrafana-cloudwatchдо 0:6.2.2-9.el8_10:6.2.2-9.el8_1
Red Hat:rhel_e4s:8.1::appstreamgrafana-debuginfoдо 0:6.2.2-9.el8_10:6.2.2-9.el8_1
Red Hat:rhel_e4s:8.1::appstreamgrafana-elasticsearchдо 0:6.2.2-9.el8_10:6.2.2-9.el8_1
Red Hat:rhel_e4s:8.1::appstreamgrafana-graphiteдо 0:6.2.2-9.el8_10:6.2.2-9.el8_1
Red Hat:rhel_e4s:8.1::appstreamgrafana-influxdbдо 0:6.2.2-9.el8_10:6.2.2-9.el8_1
Red Hat:rhel_e4s:8.1::appstreamgrafana-lokiдо 0:6.2.2-9.el8_10:6.2.2-9.el8_1
Red Hat:rhel_e4s:8.1::appstreamgrafana-mssqlдо 0:6.2.2-9.el8_10:6.2.2-9.el8_1

+93

Тот же продукт

grafana: все записи

Другие записи с наивысшей оценкой для того же основного продукта.

  • CVE-2021-39226Snapshot authentication bypass in grafanaKEV
    89Срочно
  • CVE-2021-43798Grafana path traversalKEV
    87Срочно
  • CVE-2024-9264Grafana SQL Expressions allow for remote code execution
    65На этой неделе
  • CVE-2020-13379The avatar feature in Grafana 3.0.1 through 7.0.1 has an SSRF Incorrect Access Control issue.
    62На этой неделе
  • CVE-2018-15727Grafana 2.x, 3.x, and 4.x before 4.6.4 and 5.x before 5.2.3 allows authentication bypass because an attacker can generate a valid "remember
    58В плане
  • CVE-2022-31097Stored XSS in Grafana's Unified Alerting
    55В плане

Исправление

На какую версию обновиться

Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.

Продукт / пакетИсправленная версияИсточник
almalinux:grafana7.5.11-5.el9_0 · AlmaLinux:9Реестр пакетов (OSV)
Go:github.com/grafana/grafana8.3.10Реестр пакетов (OSV)
Go:github.com/grafana/grafana8.4.10Реестр пакетов (OSV)
Go:github.com/grafana/grafana8.5.9Реестр пакетов (OSV)
Go:github.com/grafana/grafana9.0.3Реестр пакетов (OSV)
opensuse:dracut-saltboot0.1.1661440542.6cbe0da-150000.1.38.1 · openSUSE:Leap 15.3Реестр пакетов (OSV)
opensuse:golang-github-lusitaniae-apache_exporter0.11.0-150000.1.12.1 · openSUSE:Leap 15.3Реестр пакетов (OSV)
opensuse:grafana8.3.10-150200.3.26.1 · openSUSE:Leap 15.3Реестр пакетов (OSV)
opensuse:spacecmd4.3.15-150000.3.86.1 · openSUSE:Leap 15.3Реестр пакетов (OSV)
red hat:grafana0:7.5.11-5.el9_0 · Red Hat:enterprise_linux:9::appstreamРеестр пакетов (OSV)
red hat:grafana-azure-monitor0:6.3.6-5.el8_2 · Red Hat:rhel_eus:8.2::appstreamРеестр пакетов (OSV)
red hat:grafana-cloudwatch0:6.3.6-5.el8_2 · Red Hat:rhel_eus:8.2::appstreamРеестр пакетов (OSV)
red hat:grafana-debuginfo0:7.5.11-5.el9_0 · Red Hat:enterprise_linux:9::appstreamРеестр пакетов (OSV)
red hat:grafana-elasticsearch0:6.3.6-5.el8_2 · Red Hat:rhel_eus:8.2::appstreamРеестр пакетов (OSV)
red hat:grafana-graphite0:6.3.6-5.el8_2 · Red Hat:rhel_eus:8.2::appstreamРеестр пакетов (OSV)
red hat:grafana-influxdb0:6.3.6-5.el8_2 · Red Hat:rhel_eus:8.2::appstreamРеестр пакетов (OSV)
red hat:grafana-loki0:6.3.6-5.el8_2 · Red Hat:rhel_eus:8.2::appstreamРеестр пакетов (OSV)
red hat:grafana-mssql0:6.3.6-5.el8_2 · Red Hat:rhel_eus:8.2::appstreamРеестр пакетов (OSV)
red hat:grafana-mysql0:6.3.6-5.el8_2 · Red Hat:rhel_eus:8.2::appstreamРеестр пакетов (OSV)
red hat:grafana-opentsdb0:6.3.6-5.el8_2 · Red Hat:rhel_eus:8.2::appstreamРеестр пакетов (OSV)
red hat:grafana-postgres0:6.3.6-5.el8_2 · Red Hat:rhel_eus:8.2::appstreamРеестр пакетов (OSV)
rocky linux:grafana0:7.5.11-5.el9_0 · Rocky Linux:9Реестр пакетов (OSV)
suse:dracut-saltboot0.1.1661440542.6cbe0da-150000.1.38.1 · SUSE:Manager Client Tools 15Реестр пакетов (OSV)
suse:golang-github-lusitaniae-apache_exporter0.11.0-1.13.1 · SUSE:Manager Client Tools 12Реестр пакетов (OSV)
suse:golang-github-lusitaniae-apache_exporter0.11.0-150000.1.12.1 · SUSE:Manager Client Tools 15Реестр пакетов (OSV)
suse:golang-github-prometheus-alertmanager0.23.0-1.15.2 · SUSE:Manager Client Tools 12Реестр пакетов (OSV)
suse:golang-github-prometheus-node_exporter1.3.0-1.21.1 · SUSE:OpenStack Cloud 9Реестр пакетов (OSV)
suse:golang-github-prometheus-node_exporter1.3.0-150000.3.18.1 · SUSE:Linux Enterprise High Performance Computing 15-ESPOSРеестр пакетов (OSV)
suse:grafana8.3.10-150000.1.33.1 · SUSE:Manager Client Tools 15Реестр пакетов (OSV)
suse:grafana8.5.13-150100.3.12.1 · SUSE:Enterprise Storage 6Реестр пакетов (OSV)

+9

Статус эксплойта

Публичный эксплойт неизвестен

Публичный эксплойт пока не обнаружен. Это не значит, что вы в безопасности, лишь что порог чуть выше.

Контекст для исследователя

Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.

Хронология

От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.

Кроме публикации датированных событий нет.

EPSS за 120 дней+1 % за 7 дней

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Ссылки на патчи и коммиты

Коммиты, PR и diff среди источников. Отправная точка для patch-diff и поиска вариантов; это исправления, не эксплойты.

Среди источников нет ссылок на коммит или PR.

Авторы

Все исследователи

Нашедшие, сообщившие и аналитики, названные в записи CNA. Нажмите имя, чтобы увидеть другие записи исследователя.

В записи CNA нет авторов.

Кандидаты в варианты

Тот же продукт, тот же класс уязвимости, в пределах 18 месяцев. Если патч не закрыл первопричину, родственная ошибка здесь.

Ночной расчёт связей ничего не нашёл.

Кандидаты в цепочки

Обход аутентификации и уязвимость, требующая привилегий, в одном продукте и близко по времени: вместе они могут дать путь без аутентификации.

—

Охват bug bounty

Вендор продукта присутствует в публичной программе. Сопоставление по имени; проверьте текст scope в программе.

Технические детали

Условия атаки

  • Может быть вызвана любым, у кого есть доступ через интернет.
  • Достаточно учётной записи с низкими привилегиями.
  • Действия пользователя не требуются.
  • Требуются особые условия, например определённое время или конфигурация.

В случае успеха

Конфиденциальность
высокое · данные могут быть прочитаны
Целостность
высокое · данные или конфигурация могут быть изменены
Доступность
высокое · работа сервиса может быть нарушена
Вектор атаки
Сеть
Сложность атаки
Высокая
Требуемые привилегии
Низкие
Взаимодействие с пользователем
Не требуется
Область действия
Не изменяется
Влияние на конфиденциальность
Высокое
Влияние на целостность
Высокое
Влияние на доступность
Высокое

Класс уязвимости (CWE)

CWE-863 · Incorrect Authorization

Вектор CVSS

CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H

nvd-primary

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.

Анализ Noroxi

Анализа Noroxi для этой записи пока нет

Мы не пишем анализ вручную для всех 385 000+ уязвимостей; это было бы нечестно. Для значимых уязвимостей с реальным влиянием наша команда описывает механизм, обнаружение и устранение.

Мы используем этот продукт, нужна помощь

Журнал изменений

  1. Исправление✗ → ✓

Для отслеживаемых записей эти изменения приходят и как уведомления. →

Источники

Рекомендации вендоров и официальные записи. Ссылки на эксплойты/PoC намеренно исключены.

Все записи