Vývojári nástroja na vizualizáciu údajov Grafana Enterprise vydali bezpečnostnú aktualizáciu svojho produktu, ktorá opravuje kritickú bezpečnostnú zraniteľnosť.
Kritická bezpečnostná zraniteľnosť s identifikátorom CVE-2025-41115 sa nachádza v komponente SCIM (System for Cross-domain Identity Management), spočíva v nedostatočnej implementácii mechanizmov autentifikácie a umožňuje vzdialenému, neautentifikovanému útočníkovi prostredníctvom špeciálne vytvorenej požiadavky o pridanie nového používateľa zaslanej zo SCIM klienta eskalovať svoje privilégiá na zasiahnutom systéme s následkom úplného narušenia dôvernosti, integrity a dostupnosti systému.
Zraniteľnosť možno zneužiť len na inštanciách, na ktorých je zapnuté SCIM (System for Cross-domain Identity Management) (enableSCIM) a synchronizácia používateľov (user__sync_enabled).
Zraniteľnosťou sú zasiahnuté len Enterprise verzie produktu, cloudové verzie boli aktualizované automaticky a OSS inštancie nie sú zraniteľné. |
