Grafana Patches CVSS 10.0 SCIM Flaw Enabling Impersonation and Privilege Escalation
2025/11/21 TheHackerNews — Grafana がリリースしたのは、特定のコンフィグ下で権限昇格やユーザーなりすましを許す可能性がある、深刻なセキュリティ脆弱性 CVE-2025-41115 に対処するアップデートである。この脆弱性は、CVSS スコア 10.0 と評価されており、ユーザー・プロビジョニングの自動化と管理を可能にする System for Cross-domain Identity Management (SCIM) コンポーネントに存在する。なお、SCIM は 2025年4月に導入され、現在はパブリック・プレビュー段階にある。
Continue reading “Grafana Enterprise の脆弱性 CVE-2025-41115 (CVSS:10.0) が FIX：権限昇格となりすましの恐れ”Massive surge in scans targeting Palo Alto Networks login portals
2025/10/04 BleepingComputer — Palo Alto Networks のログイン・ポータルを狙う、不審なスキャンの急増が示すのは、疑わしい IP アドレスからの明確な偵察活動であると研究者たちは警告している。サイバー・セキュリティ情報会社 GreyNoise は、Palo Alto Networks の GlobalProtect／PAN-OS プロファイルを狙う IP アドレスが、500% も増加したと報告している。この活動がピークに達した 10月3日には、1,285 以上の固有 IP アドレスが活動に参加していた。通常において、１日のスキャン・アドレスが 200 IP を超えることはないと、GreyNoise は述べている。
Continue reading “Palo Alto Networks と Grafana を標的とする大規模な偵察活動：懸念される Zero-Day／N-Day 脆弱性の悪用”Hackers Attempting to Exploit Grafana Vulnerability that Enables Arbitrary File Reads
2025/10/03 CyberSecurityNews — オープンソースとして提供される分析と可視化のためのプラットフォーム Grafana が、大規模かつ組織的な攻撃を仕掛ける脅威アクターたちの標的となっている。9月28日に GreyNoise のセキュリティ研究者が検知したのは、脆弱性 CVE-2021-43798 に対する悪用試行の急増である。このパス・トラバーサルの脆弱性を悪用する攻撃者は、パッチ未適用のインスタンスにおいて任意のファイル読み取りを可能にする。
Continue reading “Grafana の脆弱性 CVE-2021-43798 が標的：悪意の IP からの敵対行動の急増を検知”Grafana Flaws Allow User Redirection and Code Execution in Dashboards
2025/07/18 gbhackers — Grafana Labs が公開したのは、悪意の Web サイトへのユーザー・リダイレクトと、ダッシュボード環境内でに任意のコード実行を、攻撃者に許す可能性のある、２件の深刻な脆弱性に対処するセキュリティ・パッチのリリースである。このセキュリティ更新プログラムは、同社のバグ報奨金プログラムを通じて発見されたものであり、High 深刻度のクロスサイト・スクリプティング (XSS) 脆弱性 CVE-2025-6023 と、Medium 深刻度のオープン・リダイレクト脆弱性 CVE-2025-6197 を修正するものである。
Continue reading “Grafana の脆弱性 CVE-2025-6023／6197 が FIX：深刻な XSS と JavaScript 実行”Grafana Patches Chromium Bugs, Including Zero-Day Exploited in the Wild
2025/07/07 SecurityWeek — Grafana が公表したのは、Grafana Image Renderer Plugin／ Synthetic Monitoring Agent で使用される、Chromium ライブラリの深刻な脆弱性４件に対処する、セキュリティ・アップデートのリリースである。これらの問題の中で最も深刻なものは、Chrome の V8 JavaScript エンジンに存在するタイプコンヒュージョンの脆弱性である。この欠陥は、リモートからの任意のメモリ Read/Write を許すものであり、ゼロデイ脆弱性として実際に悪用されている。
Continue reading “Grafana の４件の深刻な脆弱性が FIX：Chromium の CVE-2025-6554 などに対処”Over 46,000 Grafana instances exposed to account takeover bug
2025/06/15 BleepingComputer — インターネットに接続された 46,000台以上の Grafana インスタンスが、未修正の脆弱性を引きずりながら、クライアント側のオープン・リダイレクトの脅威にさらされている。この脆弱性を悪用する攻撃者は、悪意のプラグイン実行やアカウント乗っ取りを可能にするという。この脆弱性 CVE-2025-4123 は、インフラとアプリのメトリクス監視／可視化に使用される、Grafana プラットフォームの複数バージョンに影響を与えるものだ。
Continue reading “Grafana の脆弱なインスタンスは 46,000：CVE-2025-4123 の悪用とアカウント乗っ取り”Grafana Zero-Day Vulnerability Allows Attackers to Redirect Users to Malicious Sites
2025/05/22 gbhackers — Grafana が公表したのは、深刻度の高いクロスサイト・スクリプティング (XSS) の脆弱性に関する情報であり、すべてのバージョンを対象にセキュリティ・パッチがリリースされた。この脆弱性 CVE-2025-4123 を悪用する攻撃者は、任意の JavaScript コードを実行でき、悪意の Web サイトへとユーザーをリダイレクトする。この脆弱性が公開され、ユーザーに危険が迫る可能性があることが露見したことで、Grafana Labs は予定を早めてパッチをリリースした。
Continue reading “Grafana の Zero-Day 脆弱性 CVE-2025-4123 が FIX：深刻な XSS と悪意のリダイレクション”Grafana Patches CVE-2025-3260 and More in Critical Security Update
2025/04/24 SecurityOnline — Grafana Labs が公表したのは、複数の製品バージョンにまたがる、セキュリティ・アップデートのリリースである。このアップデートでは、Grafana OSS／Enterprise エディションに影響を及ぼす、深刻度が High 脆弱性１件と、Medium の脆弱性２件が修正されている。最も深刻な脆弱性 CVE-2025-3260 (CVSS：8.3：High) に関しては、最小権限のユーザーであっても、それを悪用することで、ダッシュボードに対する不正なアクセスや変更の機会を得るという。
Continue reading “Grafana の脆弱性 CVE-2025-3260／2703／3454 が FIX：ダッシュボード権限バイパスなどの恐れ”Grafana Flaws Likely Targeted in Broad SSRF Exploitation Campaign
2025/03/13 SecurityWeek — 複数の人気プラットフォームにおける、SSRF (Server-Side Request Forgery) を狙う大規模な攻撃の前に、Grafana のパス・トラバーサル脆弱性が悪用されたと、脅威インテリジェンス企業 GreyNoise が報告している。２月の広範から３月の初旬にかけて急増した、SSRF の脆弱性を組織的に悪用するキャンペーンにおいて、Zimbra／GitLab／DotNetNuke／VMware／ColumbiaSoft／Ivanti／BerriAI／OpenBMCS 製品を標的とする 400 以上の IP が観測された。
Continue reading “大規模な SSRF キャンペーンを検出：Grafana のパストラバーサルが偵察に使われている？”Grafana Vulnerability CVE-2024-9264: PoC Exploit Released for 9.9-Rated Critical Flaw
2024/10/28 SecurityOnline — オープンソースのマルチ・プラットフォーム分析／可視化ツールである、Grafana に存在する脆弱性 CVE-2024-9264 (CVSS： 9.9) に対して、技術的詳細と PoC エクスプロイト・コードが公開された。この脆弱性は、Grafana のバージョン 11.0.x／11.1.x／11.2.x に影響を及ぼし、コマンド・インジェクションおよびローカルファイル・インクルージョン (LFI：local file inclusion) のリスクに、システムをさらす可能性があるものだ。
Continue reading “Grafana の脆弱性 CVE-2024-9264 (CVSS 9.9)：PoC エクスプロイトが公開”Patch Now! Grafana Hit by 9.9 Severity RCE Vulnerability (CVE-2024-9264)
2024/10/18 SecurityOnline — 監視および可視化のための OSS プラットフォームである Grafana に、深刻なセキュリティ脆弱性 CVE-2024-9264 (CVSS：9.9) が発見された。この脆弱性の悪用に成功した攻撃者は、影響を受けるシステム上で任意のコードを実行し、システム全体を完全に侵害する可能性を得るという。
Continue reading “Grafana の RCE 脆弱性 CVE-2024-9264 (CVSS：9.9) が FIX：直ちにアップデートを！”CVE-2024-8986 (CVSS 9.1): Critical Grafana Plugin SDK Flaw Exposes Sensitive Information
2024/09/22 SecurityOnline — Grafana Plugin SDK for Go に、重大なセキュリティ脆弱性 CVE-2024-8986 (CVSS：9.1) が発見された。この脆弱性に悪用により、リポジトリ認証情報などの機密情報の漏洩につながる可能性が生じている。Grafana Plugin SDK は、Go プログラミング言語を使用するバックエンド・プラグインの、容易な開発を目的として設計されている。しかし、Grafana Labs のアドバイザリによると、それらのプラグインでは、コンパイル済みバイナリにビルド・メタデータがバンドルされているという。このメタデータには、git remote get-url origin コマンドを実行することで取得される、プラグインで使用されるリポジトリ URI が含まれる。
CVE-2024-1313: BOLA Flaw in Grafana Threatens Dashboard Integrity – Patch Immediately
2024/03/27 SecurityOnline — Grafana で、Broken Object Level Authorization (BOLA) の脆弱性 CVE-2024-1313 が発見された。したがって、このソフトウェアに依存して、重要なデータを可視化している組織には、早急にパッチを適用する必要性が生じている。この脆弱性は、Palo Alto Research の Ravid Mazon と Jay Chen により検出されたものであり、その悪用に成功した権限のないユーザーが、悪意を持ってスナップショットを削除できるため、ダッシュボードに混乱が生じ、データの整合性が毀損し、業務に支障が発生する可能性がある。
Continue reading “Grafana の脆弱性 CVE-2024-1313 が FIX：データ削除を防ぐために直ちにパッチを！”Grafana warns of critical auth bypass due to Azure AD integration
2023/06/24 BleepingComputer — Grafana がリリースした、複数のバージョン向けにセキュリティ修正は、攻撃に成功した脅威アクターに対して、認証バイパスを許すという深刻なものだ。具体的に言うと、認証に Azure Active Directory を使用している、すべての Grafana アカウントに乗っ取り可能性が生じることになる。Grafanaは、広範 に使用されているインタラクティブなオープンソースの分析および可視化のアプリであり、監視のためのプラットフォームや、アプリケーション統合のオプションを提供している。
Continue reading “Grafana の深刻な脆弱性 CVE-2023-3128 が FIX：Azure AD 統合によるアカウント乗っ取りとは？”2022/06/08 SOCPrime — 2021年12月に、Grafana のゼロデイ脆弱性 CVE-2021-43798 が野放しで活発に悪用されたことが、サイバー脅威の分野で注目を集めた。そして、世界中の数百万のユーザーが活用している、このオープンソースの観測プラットフォームに、新しい脆弱性が登場した。グローバルな組織が、メトリックの収集とリアルタイムのデータ可視化のために活用している Grafana は、最近に発見された脆弱性 CVE-2022-32275／CVE-2022-32276 により、新しい攻撃の波にさらされている。これらの脆弱性は、主に Grafana Ver 8.4.3 に影響を及ぼすとされている。
Continue reading “Grafana の脆弱性 CVE-2022-32275／CVE-2022-32276：悪用の試みを検出するには”Grafana fixes zero-day vulnerability after exploits spread over Twitter
2021/12/07 BleepingComputer — 今日、オープンソースの分析／可視化ソリューションを提供する Grafana は、ローカル・ファイルへのリモート・アクセスを許してしまう、深刻度の高いゼロデイ脆弱性を修正する緊急アップデートを行った。この問題の詳細は、今週の初めに公開が始まっており、Grafana Labs は影響を受けるVersion 8.0.0-beta1〜8.3.0 のアップデートを提供した。
Continue reading “Grafana のゼロデイ脆弱性 CVE-2021-43798 の PoC が Twitter で拡散”
IoT OT Security News 