🟠 CVE-2026-9029: High Schwachstelle

Zusammenfassung

CVE-2026-9029 beschreibt eine Cross-Site-Scripting (XSS)-Schwachstelle im Geomap-Panel von Grafana. Die Vulnerabilität ermöglicht es Benutzern mit Editor-Rechten, bösartigen JavaScript-Code über Textbox-Variablen einzuschleusen. Dieser wird dann bei jedem Dashboard-Besuch für alle Benutzer ausgeführt. Das Sicherheitspatch CVE-2023-0507 wird durch eine fehlerhafte Validierungsreihenfolge umgangen.

Betroffene Systeme

Die Schwachstelle betrifft verschiedene Versionen von Grafana mit Geomap-Panel-Funktionalität. Eine genaue Versionsliste sollte beim Hersteller angefordert werden, da noch kein Patch verfügbar ist. Systeme mit aktivierter Geomap-Funktionalität und eingeschränkten Editor-Rollen sind besonders gefährdet.

Technische Details

Der Fehler liegt in der Reihenfolge der Sicherheitsmechanismen. Die Funktion sanitizeTextPanelContent() wird auf den rohen Template-String angewendet, bevor getTemplateSrv().replace() Variablenwerte substituiert. Dies führt dazu, dass die Sanitization das injizierte XSS-Payload nicht erfasst.

Angreifer nutzen das Glob-Format ohne HTML-Escaping aus. Das generierte HTML wird direkt via element.innerHTML an OpenLayers übergeben, wo der malicious Code ausgeführt wird. Eine Textbox-Variable mit XSS-Payload im Standardwert triggert die Ausführung bei jedem Dashboard-Zugriff.

Empfohlene Massnahmen

• Beschränken Sie Editor-Rollen auf vertrauenswürdige Benutzer
• Deaktivieren Sie Geomap-Panels, falls nicht erforderlich
• Überwachen Sie Dashboard-Konfigurationsänderungen
• Überprüfen Sie existierende Textbox-Variablen auf verdächtige Inhalte
• Warten Sie auf das offizielle Sicherheitspatch

Bewertung

CVSS 7.3 (High): Netzwerk-basierte Authentifizierung erforderlich, hohe Vertraulichkeits- und Integritätsauswirkung. Das Fehlen eines Patches erhöht die Risikokritikalität erheblich. Priorisieren Sie Mitigationsmassnahmen zur Risikoreduktion.