grafana

ChainCatcher 消息，Grafana 官方 X 帳號發文表示，目前其調查結果顯示，未發現任何代碼被修改、生產系統遭受未授權訪問、客戶數據暴露或個人信息被訪問的證據。此前報導，慢霧監測到開源數據可視化工具 Grafana 疑似遭黑客攻擊，攻擊者或已植入惡意代碼。

ChainCatcher 消息，慢霧科技首席信息安全官 23pds 在 X 平台發文稱，開源數據可視化工具 Grafana 最近疑似被攻擊，攻擊者使用 Gato-X 竊取機密的簽名，用 App 令牌對多個代碼庫進行了攻擊。這個工作流程有一個可能相關的應用程序私鑰，疑似攻擊者使用精心設計的分支名稱，注入 JavaScript 代碼並竊取機密信息。

ChainCatcher 消息，据慢霧消息，Grafana 發布嚴重安全提醒，其存在帳戶被接管和認證繞過漏洞(CVE-2023-3128)，目前 PoC 在互聯網上公開，已出現攻擊案例。Grafana 是一個跨平台、開源的數據可視化網絡應用程序平台，用戶配置連接的數據源之後，Grafana 可以在網絡瀏覽器裡顯示數據圖表和警告。Grafana 根據電子郵件的要求來驗證 Azure Active Directory 帳戶。在 Azure AD 上，配置檔的電子郵件字段在 Azure AD 租戶之間是不唯一的。當 Azure AD OAuth 與多租戶 Azure AD OAuth 應用配置在一起時，這可能會使 Grafana 帳戶被接管和認證繞過。其中，Grafana >= 6.7.0 受到影響。加密貨幣行業有大量平台採用此方案用來監控伺服器性能情況，請注意風險，並將 Grafana 升級到最新版本。(來源鏈接)