Grafana Labs memperingatkan kerentanan tingkat keparahan maksimum (CVE-2025-41115) pada produk Perusahaannya yang dapat dieksploitasi untuk memperlakukan pengguna baru sebagai administrator atau untuk peningkatan hak istimewa.
Masalah ini hanya dapat dieksploitasi ketika provisi SCIM (Sistem untuk Manajemen Identitas Lintas Domain) diaktifkan dan dikonfigurasi.
Secara khusus, tanda fitur ‘enableSCIM’ dan opsi ‘user_sync_enabled’ harus disetel ke true untuk memungkinkan klien SCIM yang berbahaya atau disusupi menyediakan pengguna dengan externalId numerik yang dipetakan ke akun internal, termasuk administrator.
externalId adalah atribut pembukuan SCIM yang digunakan oleh penyedia identitas untuk melacak pengguna.
Karena Grafana memetakan nilai tersebut langsung ke internalnya pengguna.uidexternalId numerik seperti “1” dapat diartikan sebagai akun internal yang ada, sehingga memungkinkan peniruan identitas atau peningkatan hak istimewa.
Menurut Grafana dokumentasiPenyediaan SCIM saat ini berada dalam ‘Pratinjau Publik’ dan dukungan yang tersedia terbatas. Oleh karena itu, penerapan fitur ini mungkin tidak meluas.
Grafana adalah platform visualisasi dan pemantauan data yang digunakan oleh berbagai organisasi, mulai dari perusahaan rintisan hingga perusahaan Fortune 500, untuk mengubah metrik, log, dan data operasional lainnya menjadi dasbor, peringatan, dan analitik.
“Dalam kasus tertentu, hal ini dapat memungkinkan pengguna yang baru ditetapkan untuk diperlakukan sebagai akun internal yang sudah ada, seperti Admin, yang menyebabkan potensi peniruan identitas atau peningkatan hak istimewa” – Laboratorium Grafana
CVE-2025-41115 memengaruhi versi Grafana Enterprise antara 12.0.0 dan 12.2.1 (bila SCIM diaktifkan).
Pengguna Grafana OSS tidak terpengaruh, sementara layanan Grafana Cloud, termasuk Amazon Managed Grafana dan Azure Managed Grafana, telah menerima patch tersebut.
Administrator instalasi yang dikelola sendiri dapat mengatasi risiko ini dengan menerapkan salah satu pembaruan berikut:
- Grafana Perusahaan versi 12.3.0
- Grafana Perusahaan versi 12.2.1
- Grafana Perusahaan versi 12.1.3
- Grafana Perusahaan versi 12.0.6
“Jika instance Anda rentan, kami sangat menyarankan untuk segera meningkatkan versi ke salah satu versi yang telah dipatch,” Grafana Labs memperingatkan.
Cacat tersebut ditemukan selama audit internal pada tanggal 4 November, dan pembaruan keamanan diperkenalkan sekitar 24 jam kemudian.
Selama waktu tersebut, Grafana Labs menyelidiki dan menetapkan bahwa kelemahan tersebut belum dieksploitasi di Grafana Cloud.
Rilis publik atas pembaruan keamanan dan buletin yang menyertainya menyusul pada tanggal 19 November.
Pengguna Grafana disarankan untuk menerapkan patch yang tersedia sesegera mungkin atau mengubah konfigurasi (nonaktifkan SCIM) untuk menutup potensi peluang eksploitasi.
Bulan lalu, GreyNoise melaporkan aktivitas pemindaian yang meningkat secara luar biasa yang menargetkan cacat lintasan jalur lama di Grafana, yang, seperti yang telah dicatat oleh para peneliti sebelumnya, dapat digunakan untuk memetakan contoh-contoh yang terbuka sebagai persiapan untuk pengungkapan cacat baru.
Pembaruan 22/11 – Grafana Labs mengirim BleepingComputer komentar di bawah ini:
“Di Grafana Labs, keamanan pelanggan kami dan data mereka adalah yang terpenting. Segera setelah kami mengidentifikasi kerentanan terkait SCIM yang memengaruhi konfigurasi tertentu yang digunakan oleh Grafana Enterprise dan Grafana Cloud, tim kami segera bertindak untuk menyelidiki, mengembangkan, dan menguji perbaikan. Pelanggan Grafana Labs telah menerima versi patch sebelumnya, dan perlindungan yang sesuai telah diterapkan. Kami juga bekerja sama di bawah embargo dengan semua penyedia cloud yang berlisensi menawarkan Grafana Cloud Pro untuk memastikan lingkungan mereka aman sebelum masa kini. Penting untuk dicatat bahwa pengguna Grafana OSS tidak terpengaruh oleh masalah ini. Kami sangat menganjurkan setiap pelanggan yang terkena dampak untuk melakukan upgrade ke rilis patch terbaru sesegera mungkin. – Joe McManus, CISO, Lab Grafana
Lembar Cheat Keamanan Rahasia: Dari Sprawl hingga Control
Baik Anda membersihkan kunci lama atau menyetel pagar pembatas untuk kode yang dihasilkan AI, panduan ini membantu tim Anda membangun dengan aman sejak awal.
Dapatkan lembar contekan dan hilangkan dugaan tentang manajemen rahasia.
