Grafana-Schwachstelle ermöglicht Admin-Spoofing und löst Warnung der höchsten Stufe aus

Das Grafana-Problem mit Admin-Spoofing stellt eine ernsthafte Bedrohung für Organisationen dar, die Grafana Enterprise verwenden. Eine kürzlich offengelegte Schwachstelle ermöglicht es einem Angreifer, einen neuen Benutzer zu erstellen oder einen neuen Benutzer wie einen bestehenden internen Administrator erscheinen zu lassen. Der Anbieter bestätigt, dass das Problem SCIM-provisionierte Konfigurationen betrifft und fordert Administratoren zu sofortigen Updates auf.

Details zur Schwachstelle

Grafana Labs berichtet, dass eine Schwachstelle der höchsten Schwereklasse (CVE-2025-41115) das Enterprise-Produkt betrifft, wenn SCIM-Provisionierung (System for Cross-domain Identity Management) aktiviert und konfiguriert ist.
Die Schwachstelle entsteht, wenn sowohl das enableSCIM-Feature-Flag als auch die Option user_sync_enabled aktiv sind. Unter diesen Bedingungen kann ein bösartiger SCIM-Client eine numerische externalId zuweisen, die mit einer bestehenden internen Benutzerkennung übereinstimmt. Das interne Mapping von Grafana behandelt externalId direkt als user.uid, was Identitätsfälschung oder Privilegieneskalation ermöglicht.
Die Schwachstelle betrifft Grafana Enterprise Version 12.0.0 bis 12.2.1 (wenn SCIM aktiviert ist). Nutzer von Grafana Open Source sind nicht betroffen. Cloud-Dienste wie Amazon Managed Grafana und Azure Managed Grafana haben bereits Sicherheitsupdates erhalten.

Auswirkungen auf Organisationen

Die Schwachstelle im Zusammenhang mit Admin-Spoofing zeigt, wie Integrationen für Identitätsverwaltung unerwartete Risiken erzeugen können. Auch wenn die Kernanwendung sicher bleibt, können Funktionen wie SCIM Wege zu Administratorrechten öffnen, wenn sie nicht korrekt gesteuert werden. Organisationen, die Grafana für Dashboards, Protokolle und Alarme einsetzen, müssen daher die Benutzerbereitstellung als ebenso kritisch betrachten wie die Anwendung selbst.
Ein Angreifer, der diese Schwachstelle ausnutzt, kann normale Administratorerstellungsprozesse umgehen, höhere Rechte erlangen und potenziell Dashboard-Konfigurationen, Messwerte oder Alarme lesen oder verändern – ohne typischen externen Zugriff.

Abhilfemaßnahmen und Best Practices

Um das Risiko zu reduzieren, sollten Grafana-Administratoren:

• auf Version 12.3.0 aktualisieren oder Hotfixes für 12.2.1, 12.1.3 oder 12.0.6 installieren
• SCIM-Provisionierung deaktivieren, bis sichere Versionen verfügbar sind, falls ein sofortiges Upgrade nicht möglich ist
• Benutzer- und IdP-Konfigurationen auf ungewöhnliche externalId-Zuordnungen prüfen
• strenge Kontrollen und Protokollierung im Identitätsanbieter implementieren, insbesondere bei Benutzererstellung und Synchronisierung
• Dashboard- und Zugriffsprotokolle auf Hinweise überwachen, dass neue Benutzer unerwartet Administratorrechte erhalten
• die Anzahl der Administratoren begrenzen und das Prinzip geringster Berechtigungen anwenden

Fazit

Die Schwachstelle für Admin-Spoofing in Grafana zeigt, wie Konfigurationsmerkmale kritische Systeme gefährden können, wenn sie mit Identitätsintegrationen kombiniert werden. Selbst etablierte Plattformen wie Grafana können Risiken schaffen, wenn Funktionen wie SCIM ohne ausreichende Kontrolle aktiviert werden. Schnelle Updates und sorgfältige Identitäts- und Zugriffsverwaltung sind unerlässlich, um Systeme vor einer Eskalation von Berechtigungen zu schützen.