Una vulnerabilidad crítica, identificada como CVE-2025-4123, afecta a más de 46.000 instancias de Grafana con conexión a Internet, según investigadores de la empresa de seguridad OX Security. La falla permite la ejecución de un complemento malicioso y la apropiación de cuentas.
Detalles técnicos
La vulnerabilidad fue descubierta por el cazarrecompensas español Álvaro Balada. Se solucionó en las actualizaciones de seguridad publicadas por Grafana Labs el 21 de mayo. Sin embargo, al momento de escribir este artículo, más de un tercio de todas las instancias de Grafana accesibles a través del internet público no han sido parcheadas.
Según los investigadores, la vulnerabilidad permite a los atacantes inducir a las víctimas a hacer clic en URLs que conducen a la descarga de un complemento malicioso desde un sitio web controlado por el actor de la amenaza. El exploit no requiere privilegios elevados y puede funcionar incluso con el acceso anónimo habilitado.
Riesgos asociados
Una cuenta de administrador comprometida puede tener graves consecuencias, incluyendo:
- Acceso completo a métricas y paneles internos, incluyendo datos operativos confidenciales.
- Control de cuentas: los atacantes pueden bloquear usuarios legítimos o eliminar cuentas.
- Interrupción operativa: sin acceso a herramientas de monitorización, las organizaciones podrían perder visibilidad de sistemas críticos.
- Afecta al 36 % de las instancias públicas de Grafana.
Los analistas informaron que su trabajo se centró en demostrar la capacidad de utilizar el hallazgo de Balada como arma. Tras identificar las versiones vulnerables, evaluaron la exposición correlacionando los datos con la distribución de la plataforma en el ecosistema.
Encontraron 128.864 instancias expuestas en línea, de las cuales 46.506 aún ejecutaban versiones vulnerables que aún podían ser explotadas. Esto representa un porcentaje cercano al 36 %.
Explicación del mecanismo
El análisis exhaustivo de OX Security reveló que, mediante una serie de pasos de explotación que combinan la navegación de rutas del lado del cliente con mecanismos de redirección abierta, los atacantes pueden inducir a las víctimas a hacer clic en URLs que conducen a la descarga de un complemento malicioso.
Los investigadores afirman que los enlaces maliciosos podrían utilizarse para ejecutar JavaScript arbitrario en el navegador del usuario. La Política de Seguridad de Contenido (CSP) predeterminada de Grafana ofrece cierta protección, pero no impide su explotación debido a limitaciones en la aplicación del lado del cliente.
El exploit demuestra que CVE-2025-4123 puede explotarse del lado del cliente y utilizarse para eludir los mecanismos de normalización de los navegadores modernos mediante la lógica de enrutamiento de JavaScript nativa de Grafana.
Recomendaciones
Para mitigar el riesgo de explotación, se recomienda a los administradores de Grafana actualizar a las versiones 10.4.18+security-01, 11.2.9+security-01, 11.3.6+security-01, 11.4.4+security-01, 11.5.4+security-01, 11.6.1+security-01 y 12.0.0+security-01.
La falla permite a los atacantes secuestrar sesiones de usuario, cambiar las credenciales de las cuentas y, si el plugin Grafana Image Renderer está instalado, realizar falsificaciones de solicitudes del lado del servidor (SSRF) para leer recursos internos.