JVNDB-2026-005649

Grafana LabsのGrafanaにおけるTime-of-check Time-of-use (TOCTOU) 競合状態の脆弱性

作成時から使用時までの時間差（TOCTOU）脆弱性により、最近削除されて再作成されたデータソースが権限なしに再度削除される可能性があります。この脆弱性を悪用するためには、非常に厳しい以下の条件が満たされなければなりません：- 攻撃者は最初の削除前に特定のデータソースに管理者アクセス権を持っていること。- 削除後、攻撃のすべてのステップは次の30秒以内かつ同じGrafanaのポッド上で行われなければならないこと。- 攻撃者はデータソースを削除し、その後誰かがそれを再作成する必要があること。- 新しいデータソースに攻撃者は管理者として含まれていないこと。- 新しいデータソースは以前のデータソースと同じUIDを持っていること。これらのUIDはデフォルトでランダム化されています。- 攻撃者はそのデータソースを再度削除できるようになります。- 30秒が経過すると攻撃の効果はなくなり、繰り返すことができなくなります。- その他のUIDを持つデータソースは攻撃対象になりません。

Grafana Labs

• Grafana 11.0.0 以上 12.4.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Grafana Labs

• Security Advisories : Authorization bypass in Grafana datasource deletion | Grafana Labs

1. Time-of-check Time-of-use (TOCTOU) 競合状態(CWE-367) [NVD評価]

1. CVE-2026-21725

1. National Vulnerability Database (NVD) : CVE-2026-21725

• [2026年03月02日]
    掲載