گرافانا یک نقص امنیتی بسیار شدید با امتیاز CVSS 10.0 را در مؤلفه SCIM (System for Cross-domain Identity Management) اصلاح کرده است؛ نقصی که در شرایط خاص می‌تواند منجر به جعل هویت کاربران داخلی یا ارتقای سطح دسترسی تا سطح Admin شود.
آسیب‌پذیری در نحوه نگاشت externalId به user.uid داخلی رخ می‌دهد. اگر یک SCIM client مخرب یا نفوذشده مقدار externalId را به‌صورت عددی تنظیم کند (مثل “1”)، این مقدار می‌تواند با UID داخلی کاربران حساسی مثل Administrator همسان شود، و امکان تصاحب حساب فراهم گردد.
این آسیب‌پذیری فقط تحت شرایط مشخص فعال است، اما اگر فعال باشد، ریسک آن فاجعه‌بار است.
شرایط لازم برای اکسپلویت
این نقص فقط در صورتی قابل سوءاستفاده است که هر دو مورد زیر فعال باشند:
enableSCIM = true
user_sync_enabled = true در بلوک
[auth.scim]
در این حالت، SCIM client می‌تواند پروفایلی Provision کند که مستقیماً روی UID داخلی یک کاربر موجود Override انجام دهد.
نسخه‌های آسیب‌پذیر
Grafana Enterprise 12.0.0 → 12.2.1
SCIM در این نسخه‌ها در حالت Public Preview قرار داشته است.
نسخه‌های Patch شده
12.0.6+security-01
12.1.3+security-01
12.2.1+security-01
12.3.0
نحوه تأثیرپذیری (Technical Impact)
اگر یک SCIM client مخرب بتواند externalId را مقداردهی کند:
externalId = 1
internal user.uid = 1 (مثلاً کاربر Admin)
در این شرایط، کاربر جدید Provision شده به عنوان همان Admin شناسایی می‌شود →
Impersonation کامل + Privilege Escalation
نقص از طریق یک audit داخلی در تاریخ 4 نوامبر 2025 کشف شده و تاکنون گزارشی از سوءاستفاده فعال منتشر نشده است، اما به دلیل سادگی exploit و پیامدهای خطرناک آن، باید فوراً پچ شود.
توصیه‌های امنیتی Vulnerbyte
✔ بروزسانی فوری به نسخه‌های اصلاح‌شده
✔ اگر امکان آپدیت فوری وجود ندارد:
غیرفعال‌سازی SCIM تا زمان اعمال پچ
جلوگیری از دسترسی SCIM API در شبکه
محدودسازی کامل SCIM clientها و استفاده از Zero Trust برای Integrationها
✔ پایش audit logs جهت تشخیص:Provision شدن کاربران جدید
تغییرات غیرمعمول در user.uid
✔ بررسی Config برای اطمینان از غیرفعال بودن SCIM در محیط‌هایی که نیازی ندارند
✔ اجرای Security Review برای ابزارهای Identity و Automation که به Grafana متصل‌اند
