Grafana: Fehlende Autorisierung in SSO-Einstellungen
Zusammenfassung
Ein authentifizierter Benutzer in Grafana OSS und Grafana Enterprise kann SSO-Client-Geheimnisse auslesen und instanzweite SSO-Einstellungen ändern, ohne die dafür nötigen Berechtigungen zu besitzen. Die Schwachstelle betrifft nur Grafana-13.2-Installationen, auf denen das experimentelle Feature-Toggle kubernetesSsoSettingsApi aktiviert ist, was standardmässig nicht der Fall ist. Ein Angreifer mit einem gültigen Grafana-Login könnte dadurch SSO-Zugangsdaten offenlegen und die Anmeldekonfiguration verändern, was eine Kontoübernahme oder das Aussperren von Benutzern ermöglichen kann.
Betroffen
- Grafana OSS 13.2.0 bis 13.2.4
- Grafana Enterprise 13.2.0 bis 13.2.4
- Nur mit aktiviertem experimentellem Feature-Toggle kubernetesSsoSettingsApi (standardmässig deaktiviert)
- Ältere Versionszweige (13.1, 13.0, 12.x): Unbekannt.
Behoben in
- Grafana 13.2.5 oder neuer
- Ubuntu-Pakete: Nicht im Release enthalten für betroffene Ubuntu-Versionen; vor einer Verwendung beim Distributor prüfen.
Umgehung
- Prüfen, dass das Feature-Toggle kubernetesSsoSettingsApi auf allen Instanzen deaktiviert ist (Einstellung feature_toggles in grafana.ini oder die entsprechende Umgebungsvariable).
- Falls das Toggle nicht deaktiviert werden kann, auf 13.2.5 oder neuer aktualisieren.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn; der Aggregator meldet KEV: No.
- In einer begrenzten Suche wurde kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Prüfen, ob kubernetesSsoSettingsApi auf allen Grafana-Instanzen aktiviert ist; falls ja, hohe Priorität behandeln.
- Das Feature-Toggle dort deaktivieren, wo es nicht benötigt wird.
- Grafana auf 13.2.5 oder neuer aktualisieren; falls Distributionspakete den Fix nicht enthalten, den Upstream-Release verwenden.
- Grafana-Logins und Änderungen an der SSO-Konfiguration auf unerwartete Aktivitäten prüfen.
- SSO-Client-Geheimnisse rotieren, falls das Feature aktiviert war und die Instanz exponiert war.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Grafana advisory CVE-2026-103506 grafana.com
- Grafana releases on GitHub github.com
- Ubuntu CVE tracker ubuntu.com
- Grafana Hall of Fame grafana.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 08:26.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.