BDU:2024-02816 (CVE-2023-6152)

Уязвимость базовой системы аутентификации веб-инструмента представления данных Grafana, позволяющая нарушителю обойти проверку электронной почты и помешать законным владельцам электронной почты зарегистрироваться

Опубликовано: 2024-04-10

Описание

Уязвимость базовой системы аутентификации веб-инструмента представления данных Grafana связана с недостатками механизма авторизации при обработке параметра verify_email_enabled. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, обойти проверку электронной почты и помешать законным владельцам электронной почты зарегистрироваться

Затрагиваемое ПО и версии

РЕД ОС (7.3)Grafana (до 9.5.16)Grafana (от 10.0.0 до 10.0.11)Grafana (от 10.1.0 до 10.1.7)Grafana (от 10.2.0 до 10.2.4)Grafana (от 10.3.0 до 10.3.3)

Способ устранения

Использование рекомендаций:
Для Grafana:
https://grafana.com/blog/2024/02/14/grafana-security-release-medium-severity-security-fix-for-cve-2023-6152/

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Оценка CVSS

Балл	5.5 — средняя опасность

Источники и патчи

https://grafana.com/blog/2024/02/14/grafana-security-release-medium-severity-security-fix-for-cve-2023-6152/https://grafana.com/security/security-advisories/cve-2023-6152/https://github.com/grafana/bugbounty/security/advisories/GHSA-3hv4-r2fm-h27f http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Проверьте безопасность своего сайта и почты → Полная проверка домена