Grafana の脆弱性 CVE-2025-6023／6197 が FIX：深刻な XSS と JavaScript 実行

Grafana Flaws Allow User Redirection and Code Execution in Dashboards

2025/07/18 gbhackers — Grafana Labs が公開したのは、悪意の Web サイトへのユーザー・リダイレクトと、ダッシュボード環境内でに任意のコード実行を、攻撃者に許す可能性のある、２件の深刻な脆弱性に対処するセキュリティ・パッチのリリースである。このセキュリティ更新プログラムは、同社のバグ報奨金プログラムを通じて発見されたものであり、High 深刻度のクロスサイト・スクリプティング (XSS) 脆弱性 CVE-2025-6023 と、Medium 深刻度のオープン・リダイレクト脆弱性 CVE-2025-6197 を修正するものである。

これらの脆弱性は、同社のバグ報奨金プログラムを通じて発見されたものであり、クロスサイト・スクリプティング (XSS) 脆弱性 CVE-2025-6023 (High) と、オープン・リダイレクト脆弱性 CVE-2025-6197 (Medium) を修正するバージョンが提供された。

深刻な XSS 脆弱性による任意のコード実行

深刻度 High の脆弱性 CVE-2025-6023 の攻撃ベクターは XSS であり、Grafana のダッシュボード機能において、クライアント・パス追跡およびオープン・リダイレクトを引き起こすものだ。

CVE IDSeverityCVSS ScoreAffected VersionsPrimary Impact
CVE-2025-6023High7.6>= Grafana 11.5.0XSS, Code Execution
CVE-2025-6197Medium4.2>= Grafana 11.5.0Open Redirect

この脆弱性の CVSS スコアは 7.6 (High) であり、悪用において Editor 権限を必要としないため、特にリスクが高いとされている。匿名アクセスが有効化されている場合に、この XSS 脆弱性は即座に悪用可能となり、悪意の Web サイトへとユーザーをリダイレクトさせる攻撃者は、任意の JavaScript を実行させる機会を得る。

この脆弱性は、Content-Security-Policy における connect-src ディレクティブの欠如に起因するため、Grafana Cloud のユーザーにも影響を与える。このディレクティブは、攻撃者による外部 JavaScript リソースの読み込みを防ぐために不可欠なものである。

攻撃者は、Grafana インスタンスへの直接アクセスを必要とせずに、悪意のペイロードを作成できるが、JavaScript の実行を成功させるためには、少なくとも Viewer 権限を持つ被害者が必要となる。そして、攻撃が成功した場合には、セッションの乗っ取りやアカウント制御の完全な奪取にいたる可能性がある。

オープン・リダイレクトの脆弱性

この脆弱性 CVE-2025-6197 の CVSS スコアは 4.2 (Medium) であり、Grafana の組織切り替え機能の欠陥に起因する。

この脆弱性を悪用するためには、いくつかの条件をクリアする必要がある。具体的には、Grafana インスタンス上に複数の組織が存在すること、標的となるユーザーが切り替え対象となる両組織のメンバーであること、そして、カレント表示されている組織の ID を攻撃者が知っていることである。

Grafana Cloud においては、組織を切り替える機能がサポートされていないため、この脆弱性の影響は受けない。

パッチ情報と対応策

Grafana Labs は、バージョン 12.0.x／11.6.x／11.5.x／11.4.x／11.3.x として、セキュリティパッチをリリースした。これらの脆弱性は、OPSWAT に所属するセキュリティ研究者 Hoa X. Nguyen および Dat Phung により、同社のバグ報奨金プログラムを通じて発見／報告されたものだ。

すべてのユーザーに強く推奨されるのは、上記のバージョンへ向けた、速やかなアップデートである。なお、迅速なアップグレードが困難な組織に対して、Grafana が一時的な緩和策として推奨するのは、Content-Security-Policy の適切な設定および、特定の URL パターンのブロックである。

これらの脆弱性が浮き彫りにするのは、常に Grafana を最新の状態に保ち、堅牢なセキュリティ・ポリシーを実施することの重要性である。Grafana Labs による迅速な対応と、クラウド・プロバイダーとの協調的な開示、ならびに、顧客への事前通知が、効果的な脆弱性管理の実践を実証している。

組織に対して強く推奨されるのは、修正済みの最新版へと速やかにアップグレードし、これらの重大な脆弱性の悪用を防ぐことである。

Grafana の脆弱性により、XSS によるコード実行の危険性や、リダイレクトのリスクなどが生じるとのことです。 さまざまな組織で利用される Grafana だけに、懸念が広がります。ご利用のチームは、ご参照ください。よろしければ、Grafana で検索も、ご参照ください。