Grafana merilis pembaruan keamanan penting untuk menutup sebuah celah kritis. Kerentanan ini bisa membuat penyerang meningkatkan hak akses atau bahkan mengambil alih akun pengguna. Karena itu, perusahaan sangat menyarankan semua administrator untuk segera melakukan pembaruan.

Kerentanan CVE-2025-41115

Celah keamanan ini tercatat sebagai CVE-2025-41115. Nilai CVSS-nya adalah 10.0, yang merupakan level tertinggi dalam sistem penilaian risiko.

Sumber Masalah: Modul SCIM

Masalah ini berasal dari fitur System for Cross-domain Identity Management (SCIM). Fitur tersebut digunakan untuk mengatur dan menyinkronkan akun pengguna secara otomatis. Fitur ini pertama kali hadir pada April 2025, dan saat ini masih dalam tahap public preview.

Selain itu, Grafana menjelaskan bahwa kerentanan muncul ketika konfigurasi SCIM diaktifkan. Dalam kondisi tertentu, klien SCIM yang berbahaya bisa membuat akun dengan nilai externalId berupa angka. Akibatnya, akun tersebut dapat menimpa identitas internal dan mengambil hak pengguna lain.

Kondisi Agar Serangan Dapat Berhasil

Kerentanan ini hanya dapat dimanfaatkan jika dua pengaturan berikut aktif secara bersamaan:

• enableSCIM = true
• user_sync_enabled = true pada blok [auth.scim]

Jika salah satu tidak aktif, maka serangan tidak dapat dilakukan.

Versi Grafana yang Terdampak

Celah ini memengaruhi versi Grafana Enterprise:

• 12.0.0 hingga 12.2.1

Versi yang Sudah Diperbaiki

Grafana sudah merilis patch melalui versi berikut:

• 12.0.6+security-01
• 12.1.3+security-01
• 12.2.1+security-01
• 12.3.0

Penemuan Internal

Grafana menemukan celah ini pada 4 November 2025 melalui proses audit internal. Karena tingkat risikonya sangat tinggi, pengguna disarankan segera memperbarui instalasi mereka.

Rekomendasi

Untuk mencegah penyalahgunaan, administrator sebaiknya:

• mengecek versi Grafana Enterprise yang berjalan
• segera memperbarui jika termasuk versi terdampak
• meninjau kembali konfigurasi SCIM
• memastikan akun dengan hak admin aman dan terpantau

Source: https://thehackernews.com/2025/11/grafana-patches-cvss-100-scim-flaw.html