Grafana Labs, Grafana görüntü oluşturucu eklentisi ve sentetik izleme aracısı için kritik güvenlik güncellemelerinde dört krom güvenlik açıkına değinmiştir.
Sorunlar kromu etkilemesine ve iki hafta önce açık kaynaklı proje tarafından sabitlenmesine rağmen, Grafana güvenlik araştırmacısı Alex Chapman'dan Grafana bileşenlerinde sömürülebilirliklerini kanıtlayan bir hata ödülünü aldı.
Grafana, güncellemeyi "kritik önem güvenliği sürümü" olarak tanımlar ve kullanıcılara en kısa sürede güvenlik açıkları için düzeltmeleri uygulamalarını tavsiye eder:
CVE-2025-5959 (Yüksek Seyirlik, 8.8 puan)-V8 JavaScript ve WebAssembly motorundaki tip karışıklık hatası, bir HTML Pagecve-2025-6554 (Yüksek-Ağı, 8.1 puanı) aracılığıyla bir sanal alanının içinde uzaktan kod yürütülmesine izin verir. PAGECVE-2025-6191 (Yüksek Şef, 8.8 puan)-V8'deki tamsayı taşma, potansiyel olarak kod yürütmecve-2025-6192 (yüksek şeffaflık, 8.8 puan)-Chrome'un metbikleri bileşeninde hazırlanmış HTML'de kullanılabilir bir şekilde kullanılabilir, kullanıma neden olabilir.
Güvenlik sorunları, 3.12.9'dan önceki Grafana görüntü oluşturucu sürümlerini ve 0.38.3'ten önce Syntentic İzleme Aracı sürümlerini etkiler.
Grafana Image Renderer, planlanan e-posta raporları için otomatik gösterge paneli oluşturmanın ve üçüncü taraf sistemlere gömülmenin çok önemli olduğu üretim ortamlarında yaygın olarak dağıtılan bir eklentidir.
Grafana'da varsayılan olarak paketlenmemiş olsa da, eklenti proje tarafından resmi olarak korunur ve milyonlarca indirme vardır.
Sentetik izleme ajanı, Grafana Cloud'un sentetik izlemesinin bir parçasıdır, özel prob konumlarına ihtiyaç duyan müşteriler tarafından, düşük gecikme, dahili düğümlerden yüksek görünürlük kontrolleri ve havai duvarların arkasında sentetik testlere ihtiyaç duyan hibrid veya çoklu kluch altyapısına sahip işletmelerdir.
Oluşturulan görüntü kadar yaygın olarak konuşlandırılmamıştır, ancak yine de önemli sayıda yüksek değerli ortamda bulunabilir.
İki bileşen savunmasızdır, çünkü gösterge panoları oluşturmak için başsız bir krom tarayıcı içerirler.
Görüntü oluşturulan eklentinin en son sürümünü almak için: Grafana-cli eklentileri Grafana-image-render'ı yükleyin. Konteyner kurulumları için: Docker Çekin Grafana/Grafana-Image-Render: 3.12.9.
En son sentetik izleme aracısı sürümü GitHub'dan indirilebilir. Konteyner yükseltmesi için: Docker Pull Pull Grafana/Sentetik Monitoring-Agent: v0.38.3 tarayıcı.
Grafana Labs, Grafana Cloud ve Azure tarafından yönetilen Grafana örneklerinin yamalı olduğunu söylüyor, bu nedenle harici olarak barındırılan örneklere güvenen kullanıcıların herhangi bir işlem yapması gerekmiyor.
Grafana kullanıcıları son zamanlarda acil güncelleme bildirimlerine karşı iyi refleksler göstermedi. Ox Security, geçen ay 46.000'den fazla durumun, satıcının Mayıs ayında düzeltildiği kamu istismarıyla bir hesap devralma kusuruna karşı savunmasız kaldığını vurguladı.
GÜNCELLEME 7/3- Grafana BleepingComputer'a aşağıdaki yorumu gönderdi:
"Güvenlik, sürekli ve işbirlikçi bir süreçtir ve bu üçüncü taraf güvenlik açıklarını açıklandıktan sonra hızla hareket ettirdik. Böcek ödül programımız aracılığıyla krom ile ilgili sorunlardan haberdar olur olmaz, etkilenen tüm Grafa bulut hizmetlerine göre, bu kuruluşlarımızla yakın bir şekilde işgal ettik, ancak bunlardan sonra çalıştıklarını sağladık, bunlar, tüm yönetme ortaklarımızla ilgili olarak, bunlara göre, bunlar, CHA'nın tüm yönetme ortaklarımızla yakınlaştırıldık, iş ortaklarımızla yakından çalıştık, işbirliği yaptık. Topluluğa ve müşterilerimize sorumluluğumuzu ciddiye alın ve tüm kullanıcıları hemen güncellemeye teşvik edin. " - Joe McManus, Ciso, Grafana Labs
Bulut saldırıları daha sofistike büyüyor olsa da, saldırganlar hala şaşırtıcı derecede basit tekniklerle başarılı oluyorlar.
Wiz'in binlerce kuruluşta tespitlerinden yararlanan bu rapor, bulut-yüzlü tehdit aktörleri tarafından kullanılan 8 temel tekniği ortaya koymaktadır.
Yeni Veeam RCE kusuru, etki alanı kullanıcılarının yedek sunucuları hacklemesine izin verir
Hesap devralma hatasına maruz kalan 46.000'den fazla grafana örneği
Trend Micro, birden çok üründeki kritik güvenlik açıklarını düzeltir
Microsoft Haziran 2025 Patch Salı günü Düzeltmeler Suro Edited Zero Day, 66 Kusur
Mozilla Firefox Sıfır Günlerini Hacking yarışmasında sömürdü
Kaynak: Bleeping Computer