Grafana: Identitätsübernahme über Instanzen hinweg durch Image-Renderer-Tokens

Zusammenfassung

Grafana OSS und Grafana Enterprise akzeptieren Image-Renderer-Schlüssel, die von einer anderen Instanz ausgestellt wurden, wenn beide Instanzen denselben [rendering] renderer_token verwenden. Ein angemeldeter Benutzer auf einer Instanz kann auf einer anderen Instanz als Benutzer mit derselben ID handeln, was dort den Zugriff auf Daten und deren Änderung ermöglicht (CVSS 7.1). Die Schwachstelle betrifft Installationen, bei denen das Feature-Toggle renderAuthJWT aktiviert ist, was ab Grafana 13.0.0 der Standard ist.

Betroffen

• Grafana OSS und Grafana Enterprise 9.5.0 bis 12.3.11
• Grafana OSS und Grafana Enterprise 12.4.0 bis 12.4.14
• Grafana OSS und Grafana Enterprise 13.0.0 bis 13.0.12
• Grafana OSS und Grafana Enterprise 13.1.0 bis 13.1.9
• Grafana OSS und Grafana Enterprise 13.2.0 bis 13.2.5
• Grafana OSS und Grafana Enterprise 13.3.0 (Standardkonfiguration: nicht betroffen)

Behoben in

• Grafana v13.3.1 führt diese CVE in seinen Sicherheitskorrekturen auf.
• Korrigierte Versionen für die übrigen Zweige: Unbekannt. Prüfen Sie das Herstellerdokument zu dieser Schwachstelle auf die Version für Ihren Zweig.

Umgehung

• Setzen Sie auf jeder Grafana-Instanz einen eindeutigen, nicht standardmässigen renderer_token, damit Schlüssel nicht über Instanzen hinweg wiederverwendet werden können.
• Das Deaktivieren von renderAuthJWT (Wert false) ist laut Dokumentation eine Alternative, ihre Sicherheitswirkung im Vergleich zur korrigierten Version ist jedoch unbekannt. Testen Sie diese Option, bevor Sie sich darauf verlassen.
• Beschränken Sie, welche Hosts den Image Renderer erreichen können. Das ist gute Praxis, behebt die Schwachstelle aber nicht.

Ausnutzung

• Zum Zeitpunkt der Erstellung ist keine Ausnutzung in freier Wildbahn bekannt.
• Zum Zeitpunkt der Erstellung wurde kein öffentlicher Proof of Concept gefunden. Die CVE wurde am 11.11.2026 veröffentlicht und ihr NVD-Status lautet weiterhin Received, die Angaben können sich daher ändern.

Unsere Empfehlung

• Prüfen Sie, ob renderAuthJWT aktiviert ist und ob der Image Renderer genutzt wird.
• Prüfen Sie, ob renderer_token gesetzt, nicht standardmässig und pro Instanz eindeutig ist, einschliesslich der Werte in Helm-Charts und Docker-Compose-Dateien.
• Aktualisieren Sie auf Grafana 13.3.1 oder die vom Hersteller genannte korrigierte Version für Ihren Zweig, nachdem Sie das Herstellerdokument geprüft haben.
• Überprüfen Sie die Benutzerkonten auf jeder Instanz, da jeder gültige Benutzer als relevanter Angreifer gilt.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Grafana security advisory CVE-2026-102589 grafana.com
• Grafana v13.3.1 release github.com
• Grafana image renderer documentation grafana.com
• Grafana v13.0 upgrade guide grafana.com
• Canadian Centre for Cyber Security: Grafana security advisory AV26-285 www.cyber.gc.ca

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 16:23.