BIT-grafana-2023-3128

vendorUSosv

Advisory ansehen veröffentlicht 2024-03-06Lizenz: per source

Grafana is validating Azure AD accounts based on the email claim. On Azure AD, the profile email field is not unique and can be easily modified. This leads to account takeover and authentication bypass when Azure AD OAuth is configured with a multi-tenant app.

beschreibt (1)

Zugehörige CVEs.

ID	Schweregrad	EPSS	ausnutzbar	veröffentlicht
CVE-2023-3128US	critical9.8	4.00% (90th)	Exploit	2023-06-22
Grafana is validating Azure AD accounts based on the email claim. On Azure AD, the profile email field is not unique and can be easily modified. This leads to account takeover…

Referenzen

Externe Belege — Patches, Meldungen, Analysen.

https://github.com/grafana/bugbounty/security/advisories/GHSA-gxh2-6vvc-rrgpADVISORY
https://grafana.com/security/security-advisories/cve-2023-3128/ADVISORY
https://nvd.nist.gov/vuln/detail/CVE-2023-3128WEB
https://security.netapp.com/advisory/ntap-20230714-0004/ADVISORY

scry

Advisories wie diese benennen die exponierten Produkte, die Angreifer auf Ihrer Angriffsfläche ins Visier nehmen. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan