Grafana Enterprise: подмена пользователя через SCIM (CVE-2025-41115)
В Grafana Enterprise и Cloud 12.0–12.2 со включённым SCIM клиент мог подменить внутренний идентификатор пользователя. Обновите ветку до 12.0.6, 12.1.3, 12.2.1 или 12.3.0 либо выключите SCIM.
Коротко о главном
- Чем опасно
- Вредоносный SCIM-клиент мог подменить внутренний идентификатор и войти как другой пользователь
- С чего начать защиту
- Откройте бюллетень Grafana и примените указанное исправление SCIM для своей поставки Enterprise или Cloud.
- Как подтвердить
- Нужны ручной аудит и проверка реализации. Отсутствие находок во внешнем скане не подтверждает безопасность.
- Продукт
- Grafana
- Оценка риска
- CVSS 10 / 10
Как проверить и что учитывать
Нужна ручная проверка
Открытая страница входа Grafana не показывает, включён ли SCIM. FindRisk не подтверждает CVE-2025-41115. Это не запись CISA KEV и не то же самое, что анонимный доступ к панелям. Не делайте вывод о наличии уязвимости только по одному внешнему признаку: подтвердите результат в настройках и версии компонента.
Что нужно для подтверждения
Администратор проверяет версию и флаг SCIM в настройках Grafana.
Ограничения вывода
- Публичный дашборд без логина не доказывает эту ошибку.
- Выключенный SCIM означает, что условие бюллетеня не выполнено, но другие настройки всё равно нужно проверить.
Что произошло
SCIM синхронизирует учётные записи из внешнего каталога. В Grafana Enterprise и Cloud 12.x при включённой синхронизации клиент SCIM мог перезаписать внутренний идентификатор пользователя.
Дальше система принимала этого человека за другого пользователя, включая более привилегированного. Без включённого SCIM бюллетень это условие не выполняет.
Кого это касается
Организации на Grafana Enterprise или Grafana Cloud ветки 12 с включённым SCIM. Открытая бесплатная Grafana, у которой SCIM нет, — другой случай. Для неё смотрите материал про анонимный доступ, а не эту CVE.
Бюллетень Grafana от 19 ноября 2025 года не включает запись в CISA KEV. Открытая Grafana без SCIM под это условие не попадает: для неё смотрите материал про открытую панель.
| Ветка | Условие | Первое исправление |
|---|---|---|
| 12.0 | SCIM и user sync включены, версия ниже 12.0.6 | 12.0.6 |
| 12.1 | SCIM и user sync включены, версия ниже 12.1.3 | 12.1.3 |
| 12.2 | SCIM и user sync включены, версия ниже 12.2.1 | 12.2.1 |
| 12.3 и новее | Исправлено в выпуске | 12.3.0 |
Как проверить версию и SCIM
Войдите как администратор своего Grafana. Номер версии виден в разделе о сервере. Признак SCIM ищите в настройках аутентификации и провижининга, а не на публичной странице.
Не включайте и не выключайте SCIM на чужой Grafana. Проверяется только своя установка.
Как снизить риск
Если SCIM нужен для работы, ставьте исправление из бюллетеня, а не оставляйте синхронизацию как есть. Если не нужен — выключите её и проверьте пользователей.
Внешняя проверка домена может лишь показать, что панель Grafana открыта в интернет. Она не видит SCIM и не заменяет сверку версии.
Что может произойти
- Вредоносный SCIM-клиент мог подменить внутренний идентификатор и войти как другой пользователь
- Чужими оказываются панели, источники данных и права администратора
- Обычная Grafana с выключенным SCIM под условие бюллетеня не попадает
Как защититься
- 1Откройте бюллетень Grafana и примените указанное исправление SCIM для своей поставки Enterprise или Cloud.
- 2Пока патч не установлен, отключите SCIM-провижининг и синхронизацию пользователей, если без них можно работать.
- 3Сверьте список пользователей и права: не появился ли вход, которого вы не создавали.
Как проходит проверка
Открытая страница входа Grafana не показывает, включён ли SCIM. FindRisk не подтверждает CVE-2025-41115. Это не запись CISA KEV и не то же самое, что анонимный доступ к панелям. Автоматический результат показывает внешний признак риска и требует проверки специалистом с учётом конкретной конфигурации.
Проверить другие внешние рискиЧто делать после обнаружения
- Запишите редакцию Grafana и состояние SCIM до изменений.
- Проверьте журнал входов за период, когда SCIM был включён на версии 12.x.
- Повторите проверку после обновления уже в интерфейсе администратора, а не по внешнему адресу.
Частые вопросы
Что означает риск «Grafana SCIM: подмена пользователя»?
В Grafana Enterprise и Cloud 12.0–12.2 со включённым SCIM клиент мог подменить внутренний идентификатор пользователя. Обновите ветку до 12.0.6, 12.1.3, 12.2.1 или 12.3.0 либо выключите SCIM.
Можно ли подтвердить проблему только внешней проверкой?
Открытая страница входа Grafana не показывает, включён ли SCIM. FindRisk не подтверждает CVE-2025-41115. Это не запись CISA KEV и не то же самое, что анонимный доступ к панелям. Итог нужно сопоставить с конфигурацией, версиями и правами доступа на вашем сайте.
Что сделать в первую очередь?
Откройте бюллетень Grafana и примените указанное исправление SCIM для своей поставки Enterprise или Cloud.