Trusted Design

CVE-2021-39226 の詳細

CVEの情報

説明:
Grafana is an open source data visualization platform. In affected versions unauthenticated and authenticated users are able to view the snapshot with the lowest database key by accessing the literal paths: /dashboard/snapshot/:key, or /api/snapshots/:key. If the snapshot "public_mode" configuration setting is set to true (vs default of false), unauthenticated users are able to delete the snapshot with the lowest database key by accessing the literal path: /api/snapshots-delete/:deleteKey. Regardless of the snapshot "public_mode" setting, authenticated users are able to delete the snapshot with the lowest database key by accessing the literal paths: /api/snapshots/:key, or /api/snapshots-delete/:deleteKey. The combination of deletion and viewing enables a complete walk through all snapshot data while resulting in complete snapshot data loss. This issue has been resolved in versions 8.1.6 and 7.5.11. If for some reason you cannot upgrade you can use a reverse proxy or similar to block access to the literal paths: /api/snapshots/:key, /api/snapshots-delete/:deleteKey, /dashboard/snapshot/:key, and /api/snapshots/:key. They have no normal function and can be disabled without side effects.

CVE更新日: 2021-10-05 18:15:07.947000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2022-08-25

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.999330000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2021-39226に関する解説を以下に示します。

1. 脆弱性の概要

CVE-2021-39226は、オープンソースのデータ可視化プラットフォームであるGrafanaにおける認証バイパスの脆弱性です。影響を受けるバージョンでは、認証されていないユーザーおよび認証済みユーザーが、特定のリテラルパス（/dashboard/snapshot/:key または /api/snapshots/:key）にアクセスすることで、データベース内で最も低いキーを持つダッシュボードスナップショットを閲覧できます。また、public_mode設定が有効になっている場合、認証されていないユーザーもスナップショットを削除することが可能です。この脆弱性により、攻撃者はすべてのスナップショットデータを列挙および抜き出し、同時にスナップショットデータの完全な損失を引き起こす可能性があります。

この脆弱性は、Grafanaのスナップショット処理機能における不適切なアクセス制御（CWE-862）と認証バイパス（CWE-287）に起因します。 Grafanaのmacaronルーターがスナップショット関連のエンドポイントに対する静的パスマッチングを処理する方法に問題があり、影響を受けるエンドポイントが適切なルートパラメータを検証せずにリテラルな:key文字列を受け入れてしまうことが根本的な原因です。これにより、/api/snapshots/:keyにリテラル文字列:keyでリクエストが行われた場合、ルーターの高速マッチロジックがこのパスを誤って一致させ、有効なスナップショットキーを要求する代わりに、データベースで最も低いキーを持つスナップショットを返します。

1.1 影響

  • 機密性への影響 (Confidentiality Impact): 低
    • 攻撃者は、認証なしに、データベース内で最も低いキーを持つスナップショットを閲覧し、すべてのスナップショットデータを体系的にたどって、機密性の高いダッシュボード情報を公開することができます。
  • 完全性への影響 (Integrity Impact): 低
    • public_mode設定が有効な場合、認証されていないユーザーがスナップショットを削除できます。認証済みユーザーはpublic_mode設定に関わらずスナップショットを削除できます。閲覧と削除を組み合わせることで、すべてのスナップショットデータを完全に失わせる可能性があります。
  • 可用性への影響 (Availability Impact): 低
    • スナップショットの削除機能を利用することで、サービス運用妨害（DoS）状態を引き起こす可能性があります。

この脆弱性は、CISAの「既知の悪用されている脆弱性カタログ（Known Exploited Vulnerabilities Catalog）」に掲載されており、実際に悪用が確認されています。

1.2 深刻度

  • NVD（NIST）のCVSS v3.1スコア: 7.3 (重要 - HIGH)
    • CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L
  • GitHubのCVSS v3.1スコア: 9.8 (緊急 - CRITICAL)
    • CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

NISTとCNA（GitHub, Inc.）でスコアに差異があります。GitHubは機密性、完全性、可用性の影響を「高 (H)」と評価し、NISTは「低 (L)」と評価しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

  • Fedora 34
  • Fedora 35 (grafanaパッケージ)

2.2 影響を受ける設定

  • Grafanaのバージョン:
    • Grafana 2.0.1から7.5.10までのバージョン
    • Grafana 8.0.0から8.1.5までのバージョン
  • public_mode設定:
    • スナップショットのpublic_mode設定がtrueに設定されている場合（デフォルトはfalse）、認証されていないユーザーがスナップショットを削除できます。

3. 影響を受けた時の兆候

  • スナップショットデータの不審な閲覧: ダッシュボードスナップショットが意図しないユーザーに閲覧されている、または内容が漏洩している。
  • スナップショットデータの消失: ダッシュボードスナップショットが意図せず削除されている。
  • ログに記録された不審なアクセス: リバースプロキシ/ロードバランサーのログに、/dashboard/snapshot/:key、/api/snapshots/:key、/api/snapshots-delete/:deleteKeyなどのパスへの繰り返しアクセスが記録されている場合。

4. 推奨対策

4.1 本対策

  • Grafanaのアップグレード: 脆弱性が修正されたバージョンにアップグレードしてください。
    • Grafana 7.5.11以降のバージョン
    • Grafana 8.1.6以降のバージョン

4.2 暫定回避策（緩和策）

  • リバースプロキシ等でのアクセスブロック: 直ちにアップグレードできない場合、リバースプロキシなどを使用して、以下のリテラルパスへのアクセスをブロックしてください。これらのパスは通常の機能を持たず、副作用なしに無効にできます。
    • /api/snapshots/:key
    • /api/snapshots-delete/:deleteKey
    • /dashboard/snapshot/:key

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る