Grafana: Autorisierungsumgehung in der Provisioning-Jobs-API von Git Sync
Zusammenfassung
Grafana Open Source und Grafana Enterprise sind von einer Autorisierungsumgehung in der Provisioning-Jobs-API von Git Sync betroffen. Ein Benutzer mit der Rolle Editor kann von Git Sync verwaltete Ressourcen in Ordnern löschen, verschieben, pushen oder pullen, obwohl er dort nur Leserechte besitzt. Die Ursache ist, dass das Erstellen eines Provisioning-Jobs über die Jobs-Ressourcen-API die Berechtigungsprüfungen für Ordner umgeht. Angreifer benötigen ein gültiges Konto mit der Rolle Editor, und die Schwachstelle ist nur relevant, wenn Git Sync auf einer betroffenen Version genutzt wird. Der CVSS-Vektor deutet auf eine reine Beeinträchtigung der Integrität hin.
Betroffen
- Grafana OSS 13.0.0 bis 13.0.12
- Grafana OSS 13.1.0 bis 13.1.9
- Grafana OSS 13.2.0 bis 13.2.5
- Grafana OSS 13.3.0 (Standardkonfiguration nicht betroffen)
- Grafana Enterprise 13.0.0 bis 13.0.12
- Grafana Enterprise 13.1.0 bis 13.1.9
- Grafana Enterprise 13.2.0 bis 13.2.5
- Grafana Enterprise 13.3.0 (Standardkonfiguration nicht betroffen)
- Ältere Branches: Unbekannt.
Behoben in
- Grafana 13.3.1 enthält laut den Release Notes von Grafana die Korrektur.
- Korrigierte Builds für die Branches 13.0.x, 13.1.x und 13.2.x: Unbekannt. Vor der Annahme einer Rückportierung die Herstellerinformation prüfen.
Umgehung
- Kein vom Hersteller veröffentlichter Workaround gefunden.
- Die Rolle Editor nur Benutzern zuweisen, die sie benötigen.
- Die Nutzung von Git Sync auf eine kleine Gruppe vertrauenswürdiger Administratoren beschränken.
Ausnutzung
- In den geprüften Quellen wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn oder einen öffentlichen Proof of Concept gefunden.
- Status im CISA-KEV-Katalog nicht verifiziert.
Unsere Empfehlung
- Falls Git Sync auf einer betroffenen Version genutzt wird, ein Upgrade auf 13.3.1 oder eine neuere Version planen, nachdem die korrigierte Version für den eigenen Branch in der Herstellerinformation bestätigt wurde.
- Bis zum Upgrade die Mitgliedschaften in der Rolle Editor und die Nutzung von Git Sync überprüfen.
- Aktuelle Backups der von Git Sync verwalteten Ordner aufbewahren, damit Löschungen oder Verschiebungen rückgängig gemacht werden können.
- Audit-Protokolle auf Änderungen an von Git Sync verwalteten Dashboards und Ordnern überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Grafana Security Advisory CVE-2026-14242 grafana.com
- Grafana v13.3.1 release github.com
- Grafana Git Sync permissions documentation grafana.com
- OffSeq Radar: CVE-2026-14242 radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 16:24.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.