NVD脆弱性詳細

CVE-2020-13379

概要	The avatar feature in Grafana 3.0.1 through 7.0.1 has an SSRF Incorrect Access Control issue. This vulnerability allows any unauthenticated user/client to make Grafana send HTTP requests to any URL and return its result to the user/client. This can be used to gain information about the network that Grafana is running on. Furthermore, passing invalid URL objects could be used for DOS'ing Grafana via SegFault.
公表日	2020年6月4日4:15
登録日	2021年1月26日11:52
最終更新日	2024年11月21日14:01

CVSS3.1 : HIGH
スコア	8.2
ベクター	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:H
攻撃元区分(AV)	ネットワーク
攻撃条件の複雑さ(AC)	低
攻撃に必要な特権レベル(PR)	不要
利用者の関与(UI)	不要
影響の想定範囲(S)	変更なし
機密性への影響(C)	低
完全性への影響(I)	なし
可用性への影響(A)	高

CVSS2.0 : MEDIUM
スコア	6.4
ベクター	AV:N/AC:L/Au:N/C:P/I:N/A:P
攻撃元区分(AV)	ネットワーク
攻撃条件の複雑さ(AC)	低
攻撃前の認証要否(Au)	不要
機密性への影響(C)	低
完全性への影響(I)	なし
可用性への影響(A)	低
全ての特権を取得	いいえ
ユーザー権限を取得	いいえ
その他の権限を取得	いいえ
ユーザー操作が必要	いいえ

影響を受けるソフトウェアの構成

構成1		以上	以下	より上	未満
cpe:2.3:a:grafana:grafana::::::::		3.0.1	7.0.1

構成2	以上	以下	より上	未満
cpe:2.3:o:fedoraproject:fedora:31:::::::*
cpe:2.3:o:fedoraproject:fedora:32:::::::*

構成3		以上	以下	より上	未満
cpe:2.3:a:netapp:e-series_performance_analyzer:-:::::::*

構成4		以上	以下	より上	未満
cpe:2.3:o:opensuse:leap:15.2:::::::*

構成5	以上	以下	より上	未満
cpe:2.3:a:opensuse:backports_sle:15.0:sp1::::::
cpe:2.3:a:opensuse:backports_sle:15.0:sp2::::::

関連情報、対策とツール

No	URL	タグ
1	http://lists.opensuse.org/opensuse-security-announce/2020-06/msg00060.html	Mailing List Third Party Advisory
2	http://lists.opensuse.org/opensuse-security-announce/2020-07/msg00083.html	Mailing List Third Party Advisory
3	http://lists.opensuse.org/opensuse-security-announce/2020-10/msg00009.html	Mailing List Third Party Advisory
4	http://lists.opensuse.org/opensuse-security-announce/2020-10/msg00017.html	Mailing List Third Party Advisory
5	http://packetstormsecurity.com/files/158320/Grafana-7.0.1-Denial-Of-Service.html	Exploit Third Party Advisory VDB Entry
6	http://www.openwall.com/lists/oss-security/2020/06/03/4	Mailing List Third Party Advisory
7	http://www.openwall.com/lists/oss-security/2020/06/09/2	Mailing List Third Party Advisory
8	https://community.grafana.com/t/grafana-7-0-2-and-6-7-4-security-update/31408	Vendor Advisory
9	https://community.grafana.com/t/release-notes-v6-7-x/27119	Release Notes Vendor Advisory
10	https://community.grafana.com/t/release-notes-v7-0-x/29381	Release Notes Vendor Advisory
11	https://grafana.com/blog/2020/06/03/grafana-6.7.4-and-7.0.2-released-with-important-security-fix/	Vendor Advisory
12	https://lists.apache.org/thread.html/r0928ee574281f8b6156e0a6d0291bfc27100a9dd3f9b0177ece24ae4%40%3Cdev.ambari.apache.org%3E
13	https://lists.apache.org/thread.html/r093b405a49fd31efa0d949ac1a887101af1ca95652a66094194ed933%40%3Cdev.ambari.apache.org%3E
14	https://lists.apache.org/thread.html/r40f0a97b6765de6b8938bc212ee9dfb5101e9efa48bcbbdec02b2a60%40%3Cissues.ambari.apache.org%3E
15	https://lists.apache.org/thread.html/r6670a6c29044bcb77d4e5d165b5bd13fffe37b84caa5d6471b13b3a2%40%3Cdev.ambari.apache.org%3E
16	https://lists.apache.org/thread.html/r6bb57124a21bb638f552d81650c66684e70fc1ff9f40b6a8840171cd%40%3Cissues.ambari.apache.org%3E
17	https://lists.apache.org/thread.html/r984c3b42a500f5a6a89fbee436b9432fada5dc27ebab04910aafe4da%40%3Cissues.ambari.apache.org%3E
18	https://lists.apache.org/thread.html/rad99b06d7360a5cf6e394afb313f8901dcd4cb777aee9c9197b3b23d%40%3Cdev.ambari.apache.org%3E
19	https://lists.apache.org/thread.html/rba0247a27be78bd14046724098462d058a9969400a82344b3007cf90%40%3Cdev.ambari.apache.org%3E
20	https://lists.apache.org/thread.html/rd0fd283e3844b9c54cd5ecc92d966f96d3f4318815bbf3ac41f9c820%40%3Ccommits.ambari.apache.org%3E
21	https://lists.apache.org/thread.html/re75f59639f3bc1d14c7ab362bc4485ade84f3c6a3c1a03200c20fe13%40%3Cissues.ambari.apache.org%3E
22	https://lists.apache.org/thread.html/re7c4b251b52f49ba6ef752b829bca9565faaf93d03206b1db6644d31%40%3Cdev.ambari.apache.org%3E
23	https://lists.apache.org/thread.html/rff71126fa7d9f572baafb9be44078ad409c85d2c0f3e26664f1ef5a2%40%3Cdev.ambari.apache.org%3E
24	https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/EEKSZ6GE4EDOFZ23NGYWOCMD6O4JF5SO/
25	https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/O2KSCCGKNEENZN3DW7TSPFBBUZH3YZXZ/
26	https://mostwanted002.cf/post/grafanados/	Exploit Third Party Advisory
27	https://rhynorater.github.io/CVE-2020-13379-Write-Up	Exploit Third Party Advisory
28	https://security.netapp.com/advisory/ntap-20200608-0006/	Third Party Advisory
29	http://lists.opensuse.org/opensuse-security-announce/2020-06/msg00060.html	Mailing List Third Party Advisory
30	https://security.netapp.com/advisory/ntap-20200608-0006/	Third Party Advisory
31	https://rhynorater.github.io/CVE-2020-13379-Write-Up	Exploit Third Party Advisory
32	https://mostwanted002.cf/post/grafanados/	Exploit Third Party Advisory
33	https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/O2KSCCGKNEENZN3DW7TSPFBBUZH3YZXZ/
34	https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/EEKSZ6GE4EDOFZ23NGYWOCMD6O4JF5SO/
35	https://lists.apache.org/thread.html/rff71126fa7d9f572baafb9be44078ad409c85d2c0f3e26664f1ef5a2%40%3Cdev.ambari.apache.org%3E
36	https://lists.apache.org/thread.html/re7c4b251b52f49ba6ef752b829bca9565faaf93d03206b1db6644d31%40%3Cdev.ambari.apache.org%3E
37	https://lists.apache.org/thread.html/re75f59639f3bc1d14c7ab362bc4485ade84f3c6a3c1a03200c20fe13%40%3Cissues.ambari.apache.org%3E
38	https://lists.apache.org/thread.html/rd0fd283e3844b9c54cd5ecc92d966f96d3f4318815bbf3ac41f9c820%40%3Ccommits.ambari.apache.org%3E
39	https://lists.apache.org/thread.html/rba0247a27be78bd14046724098462d058a9969400a82344b3007cf90%40%3Cdev.ambari.apache.org%3E
40	https://lists.apache.org/thread.html/rad99b06d7360a5cf6e394afb313f8901dcd4cb777aee9c9197b3b23d%40%3Cdev.ambari.apache.org%3E
41	https://lists.apache.org/thread.html/r984c3b42a500f5a6a89fbee436b9432fada5dc27ebab04910aafe4da%40%3Cissues.ambari.apache.org%3E
42	https://lists.apache.org/thread.html/r6bb57124a21bb638f552d81650c66684e70fc1ff9f40b6a8840171cd%40%3Cissues.ambari.apache.org%3E
43	https://lists.apache.org/thread.html/r6670a6c29044bcb77d4e5d165b5bd13fffe37b84caa5d6471b13b3a2%40%3Cdev.ambari.apache.org%3E
44	https://lists.apache.org/thread.html/r40f0a97b6765de6b8938bc212ee9dfb5101e9efa48bcbbdec02b2a60%40%3Cissues.ambari.apache.org%3E
45	https://lists.apache.org/thread.html/r093b405a49fd31efa0d949ac1a887101af1ca95652a66094194ed933%40%3Cdev.ambari.apache.org%3E
46	https://lists.apache.org/thread.html/r0928ee574281f8b6156e0a6d0291bfc27100a9dd3f9b0177ece24ae4%40%3Cdev.ambari.apache.org%3E
47	https://grafana.com/blog/2020/06/03/grafana-6.7.4-and-7.0.2-released-with-important-security-fix/	Vendor Advisory
48	https://community.grafana.com/t/release-notes-v7-0-x/29381	Release Notes Vendor Advisory
49	https://community.grafana.com/t/release-notes-v6-7-x/27119	Release Notes Vendor Advisory
50	https://community.grafana.com/t/grafana-7-0-2-and-6-7-4-security-update/31408	Vendor Advisory
51	http://www.openwall.com/lists/oss-security/2020/06/09/2	Mailing List Third Party Advisory
52	http://www.openwall.com/lists/oss-security/2020/06/03/4	Mailing List Third Party Advisory
53	http://packetstormsecurity.com/files/158320/Grafana-7.0.1-Denial-Of-Service.html	Exploit Third Party Advisory VDB Entry
54	http://lists.opensuse.org/opensuse-security-announce/2020-10/msg00017.html	Mailing List Third Party Advisory
55	http://lists.opensuse.org/opensuse-security-announce/2020-10/msg00009.html	Mailing List Third Party Advisory
56	http://lists.opensuse.org/opensuse-security-announce/2020-07/msg00083.html	Mailing List Third Party Advisory

共通脆弱性一覧

No	CWE	名前	URL
1	CWE-918	サーバサイドリクエストフォージェリ	https://cwe.mitre.org/data/definitions/918.html

JVN脆弱性情報

Grafana におけるサーバサイドのリクエストフォージェリの脆弱性

タイトル	Grafana におけるサーバサイドのリクエストフォージェリの脆弱性
概要	Grafana には、サーバサイドのリクエストフォージェリの脆弱性が存在します。
想定される影響	情報を取得される、およびサービス運用妨害 (DoS) 状態にされる可能性があります。
対策	ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
公表日	2020年6月3日0:00
登録日	2020年6月30日14:26
最終更新日	2020年10月27日17:00

影響を受けるシステム

日立

Hitachi Ops Center Analyzer viewpoint (海外販売のみ)

Grafana Labs

Grafana 3.0.1 から 7.0.1

CVE (情報セキュリティ共通脆弱性識別子)

No	名前	URL
Common Vulnerabilities and Exposures (CVE)
1	CVE-2020-13379	https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-13379
National Vulnerability Database (NVD)
2	CVE-2020-13379	https://nvd.nist.gov/vuln/detail/CVE-2020-13379

CWE (共通脆弱性タイプ一覧)

No	名前	URL
JVNDB
1	CWE-918	https://cwe.mitre.org/data/definitions/918.html

ベンダー情報

No	名前	URL
Grafana Labs
1	Grafana 6.7.4 and 7.0.2 released with important security fix	https://grafana.com/blog/2020/06/03/grafana-6.7.4-and-7.0.2-released-with-important-security-fix/
2	Grafana 7.0.2 and 6.7.4 Security Update	https://community.grafana.com/t/grafana-7-0-2-and-6-7-4-security-update/31408
3	Release Notes v6.7.x	https://community.grafana.com/t/release-notes-v6-7-x/27119
4	Release Notes v7.0.x	https://community.grafana.com/t/release-notes-v7-0-x/29381
Hitachi Software Vulnerability Information
5	hitachi-sec-2020-131	https://www.hitachi.co.jp/Prod/comp/soft1/global/security/info/vuls/hitachi-sec-2020-131/index.html
ソフトウェア製品セキュリティ情報
6	hitachi-sec-2020-131	https://www.hitachi.co.jp/Prod/comp/soft1/security/info/vuls/hitachi-sec-2020-131/index.html

変更履歴

No	変更内容	変更日
1	[2020年06月30日] 掲載	2020年6月30日14:26
3	[2020年10月27日] 影響のあるシステム：内容を更新ベンダ情報：ソフトウェア製品セキュリティ情報 (hitachi-sec-2020-131) を追加ベンダ情報：Hitachi Software Vulnerability Information (hitachi-sec-2020-131) を追加	2020年10月27日16:59