Grafana: Umgehung von Ordnerberechtigungen in der Repository-Dateien-API von Git Sync

Zusammenfassung

Grafana Enterprise und OSS in den Versionen 13.0.2 bis 13.0.12, 13.1.0 bis 13.1.9, 13.2.0 bis 13.2.5 sowie 13.3.0 sind als betroffen aufgeführt; die Standardkonfiguration von 13.3.0 ist nicht betroffen. Ein Benutzer mit der Rolle Viewer oder Editor kann über die Repository-Dateien-API die Ordnerberechtigungen für von Git Sync verwaltete Ressourcen umgehen. Ein Viewer kann Dateien in Ordnern lesen, auf die er keinen Zugriff hat, und ein Editor kann dort bereitgestellte Dashboards und Ordner erstellen, ändern, verschieben oder löschen. Der Angreifer benötigt ein gültiges Konto mit niedrigen Rechten, und der CVSS-Wert 7.1 ist der eingereichte Wert, der noch nicht von NVD verifiziert wurde.

Betroffen

• Grafana Enterprise: 13.0.2 bis 13.0.12, 13.1.0 bis 13.1.9, 13.2.0 bis 13.2.5, 13.3.0
• Grafana OSS: 13.0.2 bis 13.0.12, 13.1.0 bis 13.1.9, 13.2.0 bis 13.2.5, 13.3.0
• Die Standardkonfiguration von 13.3.0 ist gemäss CVE-Eintrag nicht betroffen

Behoben in

Unbekannt. Die korrigierten Versionen sind in den verfügbaren Quellen nicht genannt; die Sicherheitsmitteilung von Grafana prüfen.

Umgehung

Unbekannt. Es wurde keine vom Hersteller bestätigte Massnahme gefunden.

• Die Rollen Viewer und Editor sowie von Git Sync verwaltete Ordner auf Benutzer beschränken, die sie benötigen.

Ausnutzung

Unbekannt. Zum Zeitpunkt der Analyse wurden keine öffentlichen Berichte über eine Ausnutzung, kein Proof of Concept und kein Eintrag im CISA-KEV-Katalog gefunden.

Unsere Empfehlung

• Prüfen, ob Grafana eine betroffene Version einsetzt und ob Git Sync aktiviert ist.
• Zuweisungen der Rollen Viewer und Editor sowie die von Git Sync verwalteten Ordner überprüfen.
• Das Upgrade auf die in der Sicherheitsmitteilung von Grafana genannte korrigierte Version planen, sobald diese bestätigt ist.
• Die Sicherheitsmitteilung und den NVD-Eintrag auf Aktualisierungen der betroffenen Bereiche überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Grafana security advisory CVE-2026-111024 grafana.com
• Git Sync permissions in Grafana (documentation) grafana.com
• Git Sync for Grafana dashboards and folders now generally available grafana.com
• Grafana community Helm charts issue 990 github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 16:22.