Grafana-Schwachstellen: BSI nennt CVSS 6.5 und vier Versionszweige

Grafana-Schwachstellen treffen Installationen in vier Versionszweigen: betroffen sind Versionen vor 12.4.13, vor 13.0.11, vor 13.1.8 und vor 13.2.4 sowie Red Hat Enterprise Linux. Eingestuft ist das Ganze mit CVSS Base 6.5 und CVSS Temporal 5.7 als „mittel“, der Angriff ist remote möglich, eine Mitigation ist als verfügbar vermerkt. Die Kennung lautet WID-SEC-2026-3910, Stand 20. Oktober 2026, ursprünglich veröffentlicht am 14. Oktober 2026. Ausnutzbar sind die Fehler, um Sicherheitsvorkehrungen zu umgehen, Denial-of-Service-Angriffe zu fahren und auf vertrauliche Informationen zuzugreifen. Anzahl und CVE-IDs der einzelnen Schwachstellen sind nicht ausgewiesen.

Grafana-Schwachstellen: vier Zweige, ein unklarer Umfang

Die betroffenen Produkte sind Grafana vor 12.4.13, vor 13.0.11, vor 13.1.8 und vor 13.2.4 sowie Red Hat Enterprise Linux; als Betriebssysteme tauchen Linux, UNIX, Windows und „Sonstiges“ auf. Vier parallele Fix-Stände bedeuten in der Regel, dass Korrekturen in mehrere Wartungslinien zurückportiert wurden – das deutet eher auf mehrere zugrunde liegende Fehler hin als auf einen einzelnen. Wie viele es tatsächlich sind, bleibt offen: Die Angaben bleiben auf Produkt- und Versions-Ebene, nicht auf CVE-Ebene.

Ein Blick auf einen älteren Grafana-Zyklus zeigt, wie stark sich solche Versionsstände verschieben. Für CVE-2026-33377 gelten Versionen prior to 11.6.14, 12.2.8, 12.3.6, 12.4.3 und 13.0.1 als betroffen – also deutlich frühere Fix-Punkte als die jetzt genannten 12.4.13, 13.0.11, 13.1.8 und 13.2.4. Die Zahlen sind keine Fortschreibung derselben Lücke, sondern gehören zu unterschiedlichen Meldungen mit unterschiedlichen Versionsständen. Wer aus einer älteren Warnung ableitet, 12.4.3 reiche aus, patcht an der aktuellen Lage vorbei.

Was CVSS 6.5 für die Praxis bedeutet

6.5 Base und 5.7 Temporal klingen nach „irgendwann im nächsten Wartungsfenster“. Der Score allein trägt die Dringlichkeit aber nicht. Drei Faktoren verschieben das Bild: Der Vektor ist remote, es braucht also keinen lokalen Zugriff auf das System; betroffen sind alle vier genannten Linien, was die Trefferfläche in gewachsenen Installationen groß macht; und der Impact umfasst Informationsabfluss, nicht nur Ausfälle. Grafana sitzt in vielen Umgebungen zwischen Monitoring, Logs und Datenquellen und hält dort Metadaten und Zugangsdaten. Ein Zugriff auf „vertrauliche Informationen“ aus dieser Position ist selten folgenlos: Je nach angebundener Datenquelle landen Hostnamen, Pfade, Query-Inhalte oder Credentials dort, wo sie nicht hingehören.

Zur Einordnung gehört auch, was fehlt. Welche Sicherheitsvorkehrung genau umgangen wird und unter welchen Bedingungen ein Denial of Service gelingt, ist nicht beschrieben. Die Angabe „Mitigation verfügbar“ ist entsprechend als Existenzaussage zu lesen – Workaround-Schritte sind nicht dokumentiert.

Separate Advisories mit teils höherem Impact

Rund um Grafana sind parallel mehrere eigenständige Sachverhalte dokumentiert, teils gravierender bewertet. Für Grafana Enterprise ist ein anonymer Remote-Angreifer dokumentiert, der Nutzer- oder Administratorrechte erlangen kann – Damage HIGH bei Attack Probability MEDIUM, Stand 12. Oktober 2026, ursprünglich vom 4. September 2026. Das ist ein anderes Impact-Profil als die Trias aus Umgehung, DoS und Informationsabfluss und betrifft ausschließlich die kommerzielle Variante.

Denial of Service und Cross-Site-Scripting sind als Impact vermerkt, Bewertung Damage MEDIUM, Attack Probability MEDIUM-HIGH, Stand ebenfalls 12. Oktober 2026, Ursprung 13. Juli 2026.

Am detailliertesten sind zehn Einzel-Schwachstellen mit Patch-Status „verfügbar“ aufgeschlüsselt, Severity Medium, Angriffsvektor Remote, höchster Impact Datenmanipulation, Stand 18. Mai 2026. Ein Auth-Proxy-Bypass ist bewertet mit CVSSv4 9.1: Stehen IPv6-Einträge in der Allow-List ohne explizite Maske, greift die IP-Beschränkung nicht, weil der unbeabsichtigte /32-Bereich Adressen durchlässt. Betroffen ist nur der Auth Proxy, nicht Okta, SAML oder LDAP. Weitere Befunde: Lesen beliebiger Dateien vom Server-Dateisystem über SQL Expressions, sofern der Feature-Toggle sqlExpressions aktiv ist; Service-Account-Tokens, die sich nach einem Rechteentzug weiter erzeugen lassen; unkontrollierte Speicherallokation im Live-Push- und im Plugin-Resources-Endpoint mit Out-of-Memory-Folge; eine Race Condition in Grafana Live, die zu einem „fatal map access error“ und vollständiger Nichtverfügbarkeit bis zum Serverneustart führt; sowie ein $__timeGroup-Makro, das bei negativen Intervallwerten in SQL-Datasource-Queries danebenliegt.

Eine konkrete CVE-ID samt Fix-Versionen zu Traefik und Grafana ist CVE-2026-33377, CVSS v3.1 7.1. Ein authentifizierter Angreifer mit Editor-Schreibrechten kann dort ein fremdes Dashboard überschreiben und darüber Privilegien eskalieren – der Fehler liegt in der Zugriffskontrolle, nicht in der Authentifizierung. Als betroffen gelten Versionen prior to 11.6.14, 12.2.8, 12.3.6, 12.4.3 und 13.0.1; im Kontext genannt ist HPE Aruba Networking Private 5G Core, in dem Grafana als Drittanbieter-Komponente steckt.

Patch-Lage: Fix-Versionen, Mitigation und eine offene Stelle

Zu patchen sind die Stände 12.4.13, 13.0.11, 13.1.8 und 13.2.4. Wer eine ältere Hauptlinie fährt, sollte prüfen, ob dafür überhaupt noch Fixes bereitgestellt werden – abgedeckt sind nur diese vier Zweige. Für die zehn Einzelbefunde ist Patch-Verfügbarkeit bejaht, die Fix-Versionen sind allerdings an anderen, früheren Ständen ausgerichtet.

Offen bleibt Red Hat Enterprise Linux, obwohl es als betroffen gelistet ist. Ein Red-Hat-Security-Update für Grafana unter RHEL 10 ist referenziert, der Seitenabruf war beim Recherchieren jedoch nicht möglich. Ob und in welchen Versionen Red Hat bereits liefert, ist damit nicht verifiziert – hier bleibt nur die Prüfung über die eigenen Distributions- und Errata-Kanäle.

Was Admins jetzt tun sollten

Zuerst eine Inventur: Welche Grafana-Version läuft, ist die Instanz aus dem Internet erreichbar, und liegt sie auf einer Linie, die noch Fixes bekommt? Öffentlich erreichbare Instanzen sollten Vorrang haben, unabhängig davon, dass der Score nur „mittel“ sagt. Parallel lohnt der Blick auf die eigene Konfiguration: IPv6-Allow-List-Einträge im Auth Proxy brauchen eine explizite Maske, das SQL-Expressions-Feature lässt sich abschalten, wenn es niemand nutzt, und Service-Account-Tokens sollten nach Rechteentzug stichprobenartig geprüft werden. Dashboards mit Editor-Freigaben verdienen eine Berechtigungsprüfung, weil sich darüber Rechte ausweiten ließen.

Ein einheitliches „Grafana ist kritisch“-Narrativ trägt hier nicht. Hinter CVSS 6.5, Damage HIGH für Enterprise und zehn Einzelbefunden samt CVSSv4 9.1 beim Auth Proxy stehen unterschiedliche Sachverhalte und unterschiedliche Versionsstände. Wer sie vermischt, priorisiert falsch – und patcht am Ende die falsche Baustelle.

Quellen