Grafana Labs 10.4.x < 10.4.19、11.2.x < 11.2.10、11.3.x < 11.3.7、11.4 < 11.4.5、11.5 < 11.5.5、11.6 < 11.6.2、12.0.x < 12.0.1 不當存取控制 (CVE-2025-3580)
medium Nessus Plugin ID 241355
語言:
概要
遠端主機缺少安全性更新。說明
遠端主機上安裝的 Grafana Labs 版本受到 CVE-2025-3580 公告中提及的一個不當存取控制弱點影響。- 在 Grafana OSS 中發現一個存取控制弱點，其中組織系統管理員可永久刪除伺服器系統管理員帳戶。此弱點存在於 DELETE /api/org/users/ endpoint 中。在下列情況下，此弱點可能會遭到惡意利用：1. 組織系統管理員存在 2. 伺服器系統管理員有以下情況：- 不屬於任何組織，或 - 與組織系統管理員屬於同一個組織 影響：- 組織系統管理員可永久刪除伺服器系統管理員帳戶 - 如果刪除唯一的伺服器系統管理員，則 Grafana 執行個體會變得無法管理 - 系統中不會再保留任何超級使用者權限 - 影響在執行個體中管理的所有使用者、組織和團隊 此弱點特別嚴重，因為它可能導致完全喪失對於 Grafana 執行個體的管理控制權。(CVE-2025-3580)
請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
將 Grafana Labs 更新至 10.4.19、11.2.10、11.3.7、11.4.5、11.5.5、11.6.2 和 12.0.1 或更新版本。另請參閱
https://grafana.com/security/security-advisories/cve-2025-3580/
Plugin 詳細資訊
嚴重性: Medium
ID: 241355
檔案名稱: grafana_CVE-2025-3580.nasl
版本: 1.1
類型: remote
系列: Web Servers
已發布: 2025/7/4
已更新: 2025/7/4
支援的感應器: Nessus
風險資訊
VPR
風險因素: Medium
分數: 4.2
CVSS v2
風險因素: Medium
基本分數: 6.8
媒介: CVSS2#AV:N/AC:L/Au:M/C:N/I:P/A:C
CVSS 評分資料來源: CVE-2025-3580
CVSS v3
風險因素: Medium
基本分數: 5.5
媒介: CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:H
弱點資訊
CPE: cpe:/a:grafana:grafana
修補程式發佈日期: 2025/5/22
弱點發布日期: 2025/5/22
參考資訊
CVE: CVE-2025-3580
IAVB: 2025-B-0096