Grafana安全更新：修复CVE-2024-6837中等严重性安全漏洞
内容提要
Grafana发布了11.1.4、11.0.3和10.4.7版本，修复了Swagger API文档中的安全漏洞(CVE-2024-6837)。该漏洞可能导致XSS攻击，属于中等严重性。已通知提供Grafana Cloud Pro的云服务提供商，并确认其服务是安全的。建议用户升级到修复版本并实施内容安全策略。还提供了安全问题的事件时间表和报告流程。
延伸解读
漏洞影响范围与版本确认
CVE-2024-6837影响Grafana OSS和Grafana Enterprise的多个版本，具体包括10.4.0至10.4.6、11.0.0至11.0.2以及11.1.0至11.1.3。用户需检查自身实例版本是否在此范围内。若使用Grafana Cloud，官方已应用补丁，且Amazon Managed Grafana和Azure Managed Grafana也已确认安全，无需额外操作。
漏洞利用方式与潜在风险
该漏洞存在于Grafana内置的Swagger API文档端点（/swagger）。攻击者可通过查询字符串参数向页面注入任意HTML内容，从而实施XSS攻击。成功利用后，攻击者可能窃取会话cookie，或以已登录用户的身份与Grafana API交互，导致敏感信息泄露或未授权操作。CVSS评分为5.4，属于中等严重性。
修复与缓解措施建议
官方强烈建议用户尽快升级至修复版本：11.1.4、11.0.3或10.4.7。若无法立即升级，可实施内容安全策略（CSP）作为缓解措施，例如设置“Content-Security-Policy: script-src 'self';”，以阻止来自非受控域的外部脚本执行，降低XSS攻击风险。
事件时间线与报告流程
漏洞于2024年1月31日引入，3月6日随10.4.0版本发布，7月10日通过安全赏金计划发现，7月22日评估并合并修复，7月31日进行私有发布，8月14日公开披露。Grafana Labs提供了安全报告流程，建议通过官方页面提交漏洞，并会在修复和公告前保密。用户可关注其博客安全类别获取更新。
Q&A
CVE-2024-6837漏洞的严重性如何？
CVE-2024-6837漏洞属于中等严重性，CVSS评分为5.4。
哪些版本的Grafana受到CVE-2024-6837漏洞的影响？
受影响的版本包括Grafana 10.4.0至10.4.6、11.0.0至11.0.2、11.1.0至11.1.3。
如何修复CVE-2024-6837漏洞？
建议用户尽快升级到Grafana的修复版本11.1.4、11.0.3或10.4.7，并实施内容安全策略。
CVE-2024-6837漏洞可能导致什么后果？
攻击者可能窃取会话cookie或以登录用户的身份与Grafana API交互。
Grafana Cloud Pro的安全性如何？
已通知云服务提供商，确认其Grafana Cloud Pro服务在此公告时是安全的。
如何实施内容安全策略以防止XSS攻击？
可以通过设置Content-Security-Policy来阻止来自控制域外的脚本执行，例如：script-src 'self';。
