PT-2024-4050 · Grafana · Grafana Oncall

CVE-2024-5526 · Publicado 2024-05-30 · Atualizado 2024-09-08

Positive Technologies (AI Summary) · Pt

CVSS v2.0

9.4

Alta

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:N

Nome do software vulnerável e versões afetadas

Grafana OnCall, versões 1.1.37 a 1.5.1

Descrição

O problema está relacionado à validação insuficiente de solicitações recebidas na funcionalidade de webhook do Grafana OnCall, o que pode permitir que um invasor remoto execute um ataque de falsificação de solicitação do lado do servidor (SSRF). Este problema foi corrigido na versão 1.5.2.

Recomendações

Para as versões 1.1.37 a 1.5.1, atualize para a versão 1.5.2 ou posterior para resolver o problema.

Como solução alternativa temporária, considere desativar a funcionalidade webhook até que um patch esteja disponível.

Exploit

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

BDU:2024-04492

CVE-2024-5526

Produtos afetados

Grafana Oncall

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/5xxx/CVE-2024-5526.json · Exploit
• https://twitter.com/Hossted_OSS/status/1833010554849444349 · Publicação no Twitter
• https://bdu.fstec.ru/vul/2024-04492 · Nota de Segurança
• https://t.me/cvenotify/82054 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-5526 · Aviso do Fabricante
• https://github.com/advisories/GHSA-5cwx-g8mg-7v9c · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-5526 · Nota de Segurança
• https://grafana.com/security/security-advisories/cve-2024-5526 · Aviso do Fabricante
• https://vuldb.com/?id.267155 · Nota