Grafana: Server-side Request Forgery in Git-Sync-Verbindungen
Zusammenfassung
Die Git-Sync-Funktion von Grafana sendet OAuth-Client-Secrets, Tokens und mit dem GitHub-App-Schlüssel signierte Anfragen an die für eine Verbindung konfigurierte Server- oder Token-URL, ohne diese URL zu validieren. Ein Benutzer mit der Rolle Organization Admin kann diese URL auf eine Loopback- oder interne Adresse richten, sodass die Zugangsdaten an einen vom Angreifer gewählten Host gesendet werden. Der Angreifer benötigt ein Konto mit hohen Rechten, daher besteht das Risiko vor allem durch Insider oder nach einer Kompromittierung.
Betroffen
- Grafana Enterprise 13.1.0 bis 13.1.9
- Grafana Enterprise 13.2.0 bis 13.2.5
- Grafana Enterprise 13.3.0
- Grafana OSS 13.3.0
- Standardkonfiguration: laut CVE-Eintrag nicht betroffen
Behoben in
Unbekannt. Die Grafana-Sicherheitsmitteilung auf fixe Versionen prüfen.
Umgehung
Unbekannt. Es wurde keine Workaround-Empfehlung des Herstellers gefunden. Grafanas allgemeine Empfehlung lautet, konkrete Hosts oder enge Adressbereiche statt breiter privater Bereiche wie 10.0.0.0/8 zu verwenden und bestehende Einträge in Adress-Allowlists zu überprüfen.
Ausnutzung
Unbekannt. Zum Zeitpunkt der Erstellung wurden keine öffentlichen Berichte über eine Ausnutzung oder Proof-of-Concept-Code zu dieser CVE gefunden.
Unsere Empfehlung
- Die Grafana-Sicherheitsmitteilung auf betroffene und behobene Versionen prüfen und das Update einspielen, sobald eine korrigierte Version verfügbar ist.
- Erfassen, ob Git Sync verwendet wird, und die konfigurierten Server- und Token-URLs überprüfen.
- Die Anzahl der Organization-Admin-Konten begrenzen und deren Aktivitäten überprüfen.
- Nach dem Patchen die von Git Sync verwendeten OAuth-Client-Secrets und Tokens erneuern, insbesondere wenn Admin-Konten geteilt oder nicht vertrauenswürdig waren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Grafana security advisory CVE-2026-110289 grafana.com
- Grafana docs: Git Sync permissions grafana.com
- Grafana docs: Git Sync setup before you begin grafana.com
- Grafana releases github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 16:26.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.