engineering on Grafana Labs
·
Grafana安全更新：针对CVE-2025-3415的中等严重性安全补丁发布
内容提要
Grafana发布多个版本的安全补丁，修复CVE-2025-3145漏洞，可能导致DingDing联系点暴露。受影响版本为<=12.0.1，建议用户升级或移除相关配置以防止未授权访问。
关键要点
-
Grafana发布多个版本的安全补丁，修复CVE-2025-3145漏洞。
-
该漏洞可能导致DingDing联系点暴露，影响版本为<=12.0.1。
-
建议用户升级Grafana实例或移除DingDing警报配置以防止未授权访问。
-
DingDing警报集成URL因设置失误而意外暴露。
-
CVE-2025-3145的CVSS 3.0评分为4.3（中等）。
-
受影响的Grafana版本包括12.0.1、11.6.2、11.5.5、11.4.5、11.3.7、11.2.10和10.4.19。
-
用户可以撤销DingDing API密钥以防止未授权访问。
-
安全问题报告流程已建立，用户可提交安全漏洞报告。
-
Grafana Labs会对报告进行回复并保持进展更新。
-
安全公告将在Grafana博客的安全类别中发布，用户可订阅RSS源。
延伸解读
漏洞影响分析
CVE-2025-3145漏洞的CVSS评分为4.3，属于中等严重性。这意味着虽然漏洞可能不会导致系统完全崩溃，但仍然可能导致敏感信息泄露，特别是DingDing联系点的暴露，可能影响用户的隐私和数据安全。
升级与配置建议
为了防止未授权访问，用户应尽快升级到最新版本的Grafana，或考虑移除DingDing警报配置。此外，撤销DingDing API密钥也是一种有效的防护措施，尤其是在怀疑密钥可能被泄露的情况下。
安全报告流程
Grafana Labs建立了安全问题报告流程，用户可以提交发现的安全漏洞。及时报告漏洞不仅有助于提升系统安全性，也可能使用户获得相应的奖励。用户应遵循报告流程，避免在漏洞修复前公开信息。
延伸问答
CVE-2025-3145漏洞的影响是什么？
该漏洞可能导致DingDing联系点以明文形式暴露给具有查看权限的Grafana用户。
哪些Grafana版本受到CVE-2025-3145漏洞的影响？
受影响的版本包括12.0.1及以下版本，如11.6.2、11.5.5、11.4.5等。
如何修复CVE-2025-3145漏洞？
用户应升级Grafana实例，或移除DingDing警报配置，或撤销DingDing API密钥。
CVE-2025-3145的CVSS评分是多少？
CVE-2025-3145的CVSS 3.0评分为4.3，属于中等严重性。
Grafana Labs如何处理安全漏洞报告？
用户可以提交安全漏洞报告，Grafana Labs会回复并保持进展更新。
如何订阅Grafana的安全公告？
用户可以订阅Grafana博客的安全类别RSS源，以获取安全公告。
