CVE-2025-41115
— 神龙十问 AI 深度分析摘要
CVSS 10.0 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：Grafana Enterprise 的 SCIM 用户配置存在逻辑缺陷。
🔥 **后果**：攻击者可利用 `externalId` 参数进行**权限提升**或**身份冒充**，完全接管账户。
Q2根本原因？（CWE/缺陷点）
🔍 **缺陷点**：SCIM 配置中用户身份处理不当。
⚠️ **CWE**：数据未提供具体 CWE ID，但核心是**输入验证缺失**（数字 ID 映射错误）。
Q3影响谁？（版本/组件）
🎯 **目标**：**Grafana Enterprise**。
📅 **版本**：**12.x** 系列版本。
📦 **组件**：启用 SCIM 用户配置的功能模块。
Q4黑客能干啥？（权限/数据）
💀 **黑客能力**：
1️⃣ **权限提升**：从普通用户升至管理员。
2️⃣ **身份冒充**：伪装成其他合法用户。
3️⃣ **数据泄露**：CVSS 评分中 C:H (机密性高)，可访问敏感监控数据。
Q5利用门槛高吗？（认证/配置）
🚪 **利用门槛**：**极低**。
✅ **无需认证** (PR:N)。
✅ **无需用户交互** (UI:N)。
✅ **网络远程** (AV:N)。
⚙️ **前置条件**：必须开启 SCIM 且 `user_sync_enabled = true`。
Q6有现成Exp吗？（PoC/在野利用）
💣 **PoC 状态**：**已有公开 Exploit**。
🔗 多个 GitHub 仓库（如 Blackash-CVE-2025-41115）已发布利用代码和测试脚本。
🌍 **在野利用**：数据未明确提及，但 PoC 公开意味着利用门槛已消失。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**：
1️⃣ 检查 Grafana 版本是否为 **12.x**。
2️⃣ 确认是否启用了 **SCIM 用户同步**。
3️⃣ 检查配置中 `user_sync_enabled` 是否为 **true**。
4️⃣ 扫描日志中是否有异常的 SCIM `externalId` 请求。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**：
📅 发布日期：**2025-11-21**。
🔗 官方已发布安全公告 (Security Advisory)。
💡 **建议**：立即查阅 Grafana 官网公告获取最新补丁版本。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**：
1️⃣ **禁用 SCIM**：如果非必须，暂时关闭 SCIM 用户同步功能。
2️⃣ **配置检查**：确保 `user_sync_enabled = false`。
3️⃣ **网络隔离**：限制 SCIM 接口仅对可信 IP 开放。
4️⃣ **输入过滤**：在网关层拦截非字符串类型的 `externalId`。
Q10急不急？（优先级建议）
🔥 **优先级**：**紧急 (Critical)**。
📊 **CVSS 评分**：**10.0** (满分)。
⚡ **建议**：立即升级或应用缓解措施，此漏洞可导致**完全控制**，风险极高。