「Grafana」にクリティカル脆弱性 - なりすましや権限昇格のおそれ

Grafana Labsのデータ可視化ツール「Grafana」に深刻な脆弱性が明らかとなった。アップデートが呼びかけられている。

2025年4月に導入された「SCIM（System for Cross-domain Identity Management）プロビジョニング」の機能に脆弱性「CVE-2025-41115」が明らかとなったもの。

外部のID管理システムをもとにアカウントやグループを作成、更新できる機能だが、ユーザーIDの処理に問題があり、特定の条件下において細工した「SCIMアカウント」による操作によってIDを上書きし、「なりすまし」や「権限の昇格」が可能となる。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは最高値である「10.0」と評価されており、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

「Grafana」の開発チームは現地時間2025年11月19日、脆弱性を修正した「同12.2.2」「同12.1.4」「同12.0.7」「同1.9.2-0.20251106142618-ca5d89812015」を公開した。また同日リリースとなった「同12.3.0」は同脆弱性の影響を受けない。

（Security NEXT - 2025/11/25 ）ツイート