「Grafana」の一部認証機能に深刻な脆弱性

「Grafana」に脆弱性～アカウント乗っ取りのおそれ

データの可視化プラットフォーム「Grafana」の一部認証機能に深刻な脆弱性が明らかとなりました。
アップデートが提供されており、「同6.7.0」以降の特定環境下において認証をバイパスされ、アカウントを乗っ取られるおそれがある脆弱性「CVE-2023-3128」が明らかとなったもの。
「Azure AD」のアカウント検証にメールを用いているが、「Azure AD」のプロフィールにあるメールフィールドは、テナント間においてユニークな値とはなっておらず、
自由に内容を変更できるため、「Azure AD OAuth」がマルチテナントアプリで構成されている場合に認証を回避されるおそれがあるという。
Grafana Labsでは、共通脆弱性評価システム「CVSSv3.1」において、同脆弱性のベーススコアを「9.4」と評価。重要度をもっとも高い「クリティカル（Critical）」とレーティングしている。

6月22日に脆弱性を解消した「同10.0.1」「同9.5.5」「同9.4.13」「同9.3.16」「同9.2.20」「同8.5.27」をリリースした。
あわせて回避策をアナウンスしている。

https://grafana.com/blog/2023/06/22/grafana-security-release-for-cve-2023-3128/