Grafana Loki datasource plugin's callResource handler contai…(CVE-2026-42129・CVSS 7.7)

概要

Grafana Loki datasource plugin's callResource handler contains a path traversal vulnerability.

原文の説明

取得元が公開している説明をそのまま載せています (多くは英語)。

The Loki datasource plugin's callResource handler contains a path traversal vulnerability. An authenticated Viewer-role user can escape the plugin's resource sandbox and access administrative Loki endpoints (e.g. /config, /services, /ready) to extract sensitive backend configuration and internal service information.

出典: NIST National Vulnerability Database NVD GitHub Advisory

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

LokiデータソースプラグインのcallResourceハンドラーにパストラバーサルの脆弱性があります。認証されたViewerロールのユーザーは、この脆弱性を利用してプラグインのリソースサンドボックスから脱出し、Lokiの管理エンドポイントにアクセスして機密情報を抽出する可能性があります。

❓ 何が問題か

LokiデータソースプラグインのcallResourceハンドラーにパストラバーサル脆弱性が存在します。

📍 影響範囲

Lokiデータソースプラグインの特定ハンドラー内で発生します。

🔥 重要度

Viewerロールのユーザーが機密情報にアクセス可能であるため、深刻です。

🔧 修正方法

プラグインを最新バージョンにアップデートし、リソース制約を強化します。

🛡️ 暫定回避

ユーザー権限を見直し、Viewerロールのアクセスを制限します。

🔍 検知方法

ログを確認し、異常なエンドポイントアクセスパターンを監視します。

影響パッケージ

go github.com/grafana/grafana

[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"1.9.2-0.20260616075434-82ef13993059"}]}]