BDU:2025-06343

Опубликовано: 02 июн. 2025

Источник: fstec

CVSS3: 8.3

CVSS2: 8.7

EPSS Низкий

Описание

Уязвимость платформы для мониторинга и наблюдения Grafana связана с недостатками механизма авторизации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти существующие ограничения безопасности

Вендор

Grafana

Наименование ПО

Grafana

Версия ПО

от 11.6.0 до 11.6.1+security-01 (Grafana)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 8,7)

Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 8,3)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- отключение механизма анонимной аутентификации для доступа к платформе;

- использование межсетевого экрана уровня приложений (WAF) для фильтрации сетевого трафика;

- ограничение доступа к платформе из внешних сетей (Интернет);

- отключение/удаление неиспользуемых учётных записей пользователей платформы;

- использование виртуальных частных сетей для организации удаленного доступа (VPN) к платформе.

Использование рекомендаций:

https://grafana.com/blog/2025/04/22/grafana-security-release-medium-and-high-severity-fixes-for-cve-2025-3260-cve-2025-2703-cve-2025-3454/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует

Информация об устранении

Уязвимость устранена

Ссылки на источники

https://grafana.com/blog/2025/04/22/grafana-security-release-medium-and-high-severity-fixes-for-cve-2025-3260-cve-2025-2703-cve-2025-3454/

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2025-3260
CVE

EPSS

Процентиль: 1%

0.00013

Низкий

8.3 High

CVSS3

8.7 High

CVSS2

Связанные уязвимости

CVE-2025-3260

CVSS3: 8.3

ubuntu

16 дней назад

A security vulnerability in the /apis/dashboard.grafana.app/* endpoints allows authenticated users to bypass dashboard and folder permissions. The vulnerability affects all API versions (v0alpha1, v1alpha1, v2alpha1). Impact: - Viewers can view all dashboards/folders regardless of permissions - Editors can view/edit/delete all dashboards/folders regardless of permissions - Editors can create dashboards in any folder regardless of permissions - Anonymous users with viewer/editor roles are similarly affected Organization isolation boundaries remain intact. The vulnerability only affects dashboard access and does not grant access to datasources.

CVE-2025-3260

CVSS3: 8.5

redhat

около 2 месяцев назад

CVE-2025-3260

CVSS3: 8.3

nvd

16 дней назад

CVE-2025-3260

CVSS3: 8.3

debian

16 дней назад

A security vulnerability in the /apis/dashboard.grafana.app/* endpoint ...

GHSA-3px7-c4j3-576r

CVSS3: 8.3

github

16 дней назад

Grafana vulnerable to authenticated users bypassing dashboard, folder permissions

EPSS

Процентиль: 1%

0.00013

Низкий

8.3 High

CVSS3

8.7 High

CVSS2