Уязвимость BDU:2025-06002
Идентификатор: BDU:2025-06002.
Наименование уязвимости: Уязвимость платформы для мониторинга и наблюдения Grafana, связанная с ошибками разграничения доступа, позволяющая нарушителю нарушить работу программы.
Описание уязвимости: Уязвимость платформы для мониторинга и наблюдения Grafana связана с ошибками разграничения доступа. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, нарушить работу программы путем удаления учётной записи администратора сервера
Уязвимое ПО: Операционная система ООО «Ред Софт» РЕД ОС 7.3 | Прикладное ПО информационных систем Grafana Labs Grafana до 10.4.19 | Прикладное ПО информационных систем Grafana Labs Grafana до 11.2.10 | Прикладное ПО информационных систем Grafana Labs Grafana до 11.3.7 | Прикладное ПО информационных систем Grafana Labs Grafana до 11.4.5 | Прикладное ПО информационных систем Grafana Labs Grafana до 11.5.5 | Прикладное ПО информационных систем Grafana Labs Grafana до 11.6.2 | Прикладное ПО информационных систем Grafana Labs Grafana до 12.0.1 |
Наименование ОС и тип аппаратной платформы: РЕД ОС 73 |
Дата выявления: 22.05.2025.
CVSS 2.0: AV:N/AC:L/Au:S/C:C/I:C/A:C
Уровень опасности уязвимости: Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9)
Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 7,2)
Возможные меры по устранению:
Компенсирующие меры:
— обязательное присвоение учетной записи пользователю организации;
— контроль запрета правила принадлежности только одной организации пользователя с правами «Server Admin», которая (организация) управляется пользователем с правами «Organization Admin»;
— ограничение доступа к платформе из внешних сетей (Интернет);
— отключение/удаление неиспользуемых учётных записей пользователей платформы;
— использование виртуальных частных сетей для организации удаленного доступа (VPN) к платформе.
В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года.
Использование рекомендаций:
Для Grafana:
https://grafana.com/blog/2025/05/23/grafana-security-release-medium-and-high-severity-security-fixes-for-cve-2025-4123-and-cve-2025-3580/
Для РедОС:
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/.
Статус уязвимости: Подтверждена производителем
Наличие эксплойта: Данные уточняются
Информация об устранении: Уязвимость устранена
Идентификаторы других систем описаний уязвимости: CVE-2025-3580.
Тип ошибки CWE:
Ссылки на источники:
cайт ФАУ «ГНИИИ ПТЗИ ФСТЭК России».
https://grafana.com/blog/2025/05/23/grafana-security-release-medium-and-high-severity-security-fixes-for-cve-2025-4123-and-cve-2025-3580/
https://grafana.com/security/security-advisories/cve-2025-3580/
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
