Grafana Mimir Alertmanager 설정 검사 누락으로 서버 파일 열람 가능
알림 설정 권한이 있는 사용자가 서버의 중요한 파일을 훔쳐볼 수 있습니다.
요약
Grafana Mimir의 Alertmanager가 알림 설정의 로컬 파일 참조를 검사하지만, HTTP 헤더와 기본 인증 사용자 이름 항목은 빠져 있었습니다. 알림 설정을 쓸 권한이 있는 테넌트가 Alertmanager 호스트의 자격 증명이나 설정 파일을 읽을 수 있습니다. Grafana Enterprise Metrics(GEM)도 영향을 받습니다.
해당 조건
- 테넌트의 Alertmanager 설정을 쓸 권한이 있는 경우
대처법
Grafana Mimir는 3.1.7 또는 3.2.2로, GEM은 2.17.20 이상으로 업데이트하세요. GEM 2.11부터 2.16 버전은 수정이 나오지 않으므로 2.17.20 이상으로 올리세요.
내 제품에 맞는 버전 이상으로 업데이트하세요:
- Grafana Mimir 3.1 3.1.7 이상
- Grafana Mimir 3.2 3.2.2 이상
- Grafana Enterprise Metrics 2.17 2.17.20 이상
대상 제품과 운영체제
CVE 번호
원문 링크
- 보안 공지: grafana.com (새 탭에서 열림)
- CVE 기록: cve.org (새 탭에서 열림)
시각
처음 게시
처음 확인