Типичный Сисадмин

В Grafana Enterprise нашли способ получить админа без регистрации и СМС 😬 Разработчики Grafana Labs решили взбодрить корпоративный сектор и выкатили предупреждение о критической уязвимости CVE-2025-41115, которая получила максимальный рейтинг опасности (10 из 10). Проблема касается исключительно платной редакции Grafana Enterprise и позволяет злоумышленнику на изи превратиться в администратора, захватив полный контроль над системой мониторинга и всеми данными. Если в системе включена функция синхронизации пользователей через протокол SCIM (параметры enableSCIM и user_sync_enabled выставлены в true), то механизм сопоставления учеток начинает вести себя неадекватно. Вредоносный клиент может передать в поле externalId числовое значение, например (1). Система, недолго думая, мапит это значение прямо на внутренний user.uid. А так как uid=1 это обычно супер-админ, то Grafana радостно пускает гостя с полными правами. Валидация типов? Нет, не слышали 🤡 Пользователи бесплатной Grafana OSS в безопасности. Также в безопасности те, кто не включал экспериментальную фичу SCIM provisioning. Но если вы счастливый обладатель лицензии Enterprise версий 12.0.0–12.2.1 и используете автопровиженинг пользователей, то у вас проблемы. Всем селфхост-владельцам настоятельно рекомендуется накатить обновления до версий 12.3.0, 12.2.1, 12.1.3 или 12.0.6, пока к вам не постучался новый админ с внешним ID единичка 🎩 Типичный 🥸 Сисадмин