Grafana 敏感信息泄露漏洞

漏洞描述

Grafana 是一个跨平台、开源的数据可视化网络应用平台。

Grafana 的受影响版本中存在敏感信息泄露漏洞，原因是在登录页面使用忘记密码时，平台会向/api/user/password/sent-reset-email 发送一个Post请求，如果用户名或电子邮件不存在时，JSON 响应包含“未找到用户”消息。攻击者可通过忘记密码功能枚举用户，获取系统敏感信息。

漏洞名称	Grafana 敏感信息泄露漏洞
漏洞类型	信息暴露
发现时间	2022-11-10
漏洞影响广度	一般
MPS编号	MPS-2022-64074
CVE编号	CVE-2022-39307
CNVD编号	-

影响范围

grafana/grafana@(-∞, 8.5.15)

grafana/grafana@[9.0.0, 9.2.4)

修复方案

升级grafana/grafana到 8.5.15 或 9.2.4 或更高版本

参考链接

https://www.oscs1024.com/hd/MPS-2022-64074

https://github.com/grafana/grafana/security/advisories/GHSA-3p62-42x7-gxg5

https://nvd.nist.gov/vuln/detail/CVE-2022-39307

    

情报订阅

OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。同时提供漏洞、投毒情报的免费订阅服务，社区用户可通过配置飞书、钉钉、企业微信机器人，及时获得一手情报信息推送：

https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见：

https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc