文章总结： Grafana发布安全更新修复CVSS满分漏洞CVE-2025-41115，该漏洞位于SCIM组件中，可导致身份冒充或提权。漏洞原理是SCIM的externalld直接映射到内部用户的user.uid字段，数值ID可能被解释为内部数字用户ID。影响Grafana企业版12.0.0到12.2.1，已在多个版本中修复。建议用户尽快应用补丁缓解风险。
综合评分： 75
文章分类： 漏洞分析,漏洞预警,WEB安全
Grafana SCIM 中存在严重漏洞，可导致身份冒充或提权
Ravie Lakshmanan
代码卫士
2025年11月25日 18:10
北京
聚焦源代码安全，网罗国内外最新资讯！
编译：代码卫士
Grafana发布安全更新，修复了一个CVSS满分漏洞CVE-2025-41115，在某些配置条件下可导致提权或身份冒充。
该漏洞位于跨域身份管理系统 (SCIM) 组件中。该组件负责自动化用户配置与管理功能，于2025年4月首次推出，目前处于公开预览阶段。Grafana工程师Vardan Torosyan指出：”在启用并配置了SCIM配置功能的Grafana 12.x版本中，用户身份处理机制存在一个漏洞。恶意或被入侵的SCIM客户端可通过配置携带数字型externalId的用户，进而覆盖内部用户ID，最终导致身份冒充或提权攻击。”
不过，成功利用该漏洞需要同时满足两个条件：
- 将 enableSCIM 特性标记设为true
- 将 [auth.scim] 块中的 user_sync_enabled 配置选项设为 true
该漏洞影响 Grafana 企业版12.0.0到12.2.1，已在如下版本中修复：
- Grafana Enterprise 12.0.6+security-01
- Grafana Enterprise 12.1.3+security-01
- Grafana Enterprise 12.2.1+security-01
- Grafana Enterprise 12.3.0
Torosyan 表示，“Grafana 将 SCIM 的externalld 直接映射到内部用户的 user.uid 字段，因此，数值形式的 ID（比如‘1’）可能会被解释为内部数字用户ID。在某些情况下可导致新创建的用户被看做已有的内部账号如管理员，从而导致潜在的身份冒充或提权后果。”
Grafana 平台表示该漏洞是内部研究人员在2025年11月4日在审计和测试阶段发现的。鉴于该漏洞的严重性，建议用户尽快应用补丁，缓解潜在风险。
开源卫士试用地址：https://oss.qianxin.com/#/login
代码卫士试用地址：https://sast.qianxin.com/#/login
推荐阅读
原文链接
https://thehackernews.com/2025/11/grafana-patches-cvss-100-scim-flaw.html
题图：Pixabay License
本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。
觉得不错，就点个 “在看” 或 “赞” 吧~
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：代码卫士 Ravie Lakshmanan《Grafana SCIM 中存在严重漏洞，可导致身份冒充或提权》