CVE-2023-3128

Grafana: Pominięcie uwierzytelniania przez manipulację emailem w Azure AD OAuth

CVSS 9.4v3.1pub. 2023-06-22upd. 2025-02-13

Grafana nieprawidłowo waliduje tożsamość użytkowników Azure AD, opierając się wyłącznie na polu email z tokenu, które nie jest unikalne i może być dowolnie zmieniane. W konfiguracji z wielodostępną aplikacją Azure AD (multi-tenant) umożliwia to przejęcie kont innych użytkowników bez znajomości ich hasła.

▸ Pokaż oryginał (EN)

Grafana is validating Azure AD accounts based on the email claim. On Azure AD, the profile email field is not unique and can be easily modified. This leads to account takeover and authentication bypass when Azure AD OAuth is configured with a multi-tenant app.

🤖 Analiza AI

Jak działa

Grafana podczas uwierzytelniania przez Azure AD OAuth weryfikuje tożsamość użytkownika na podstawie wartości pola 'email' zawartego w claims tokenu. Pole to w Azure AD nie jest globalnie unikalne — każdy użytkownik może ustawić dowolny adres email w swoim profilu. Atakujący może utworzyć lub zmodyfikować konto Azure AD tak, aby pole email odpowiadało adresowi ofiary, a następnie zalogować się do instancji Grafana jako ta ofiara. W przypadku aplikacji wielodostępnych (multi-tenant) atakujący nie musi nawet należeć do tej samej organizacji Azure AD co ofiara.

Skutki

Atakujący może przejąć konto dowolnego użytkownika Grafana korzystającego z logowania przez Azure AD OAuth, uzyskując pełny dostęp do jego zasobów, dashboardów i uprawnień — włącznie z kontem administratora, co prowadzi do kompromitacji całej instancji.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://grafana.com/security/security-advisories/cve-2023-3128/). Dodatkowo, do czasu aktualizacji, zaleca się ograniczenie logowania przez Azure AD OAuth lub przejście na konfigurację single-tenant oraz włączenie weryfikacji opartej na unikalnych identyfikatorach (np. Object ID) zamiast pola email.

Kogo dotyczy

Wszystkie instancje Grafana skonfigurowane do uwierzytelniania przez Azure AD OAuth z wielodostępną aplikacją (multi-tenant Azure AD app). Szczegółowe wersje wskazane w referencjach producenta.

Uwagi

Podatność dotyczy wyłącznie instancji Grafana korzystających z Azure AD OAuth skonfigurowanego jako aplikacja wielodostępna (multi-tenant). Konfiguracje single-tenant lub inne metody uwierzytelniania nie są podatne.