(CVE-2025-3415) 暴露Grafana Alerting中的DingDing API 密钥

Grafana Labs 发布了一轮安全补丁，以解决 CVE-2025-3415，这是一个中危漏洞 (CVSS 4.3)，可能在 Grafana Alerting 中暴露敏感配置数据，特别是 DingDing 联系点。

“Grafana Labs 在公告中披露，由于设置疏忽，发生了一起 DingDing 告警集成 URL 意外暴露给查看者的情况 。”

该漏洞影响 Grafana 12.0.1 及以下版本，是由配置错误的访问控制引入的，这使得具有 Viewer 级别权限的用户可以以纯文本形式访问告警 URL。

当 Grafana Alerting 配置 DingDing 作为联系点时，webhook URL 存储在配置中，通常包含敏感信息或 API 密钥。

由于 CVE-2025-3415 中描述的缺陷，任何在 Grafana 界面中具有 Viewer 级别权限的用户都可以：

• 查看完整的 webhook URL
• 复制 URL 中嵌入的 DingDing token 或 API key
• 可能通过 DingDing 集成发送伪造或恶意警报

Grafana Labs 确认：“Grafana Alerting 中配置的 DingDing 联络点可以纯文本形式暴露给具有 Viewer 权限的 Grafana 用户 。”

Grafana Labs 已经发布了修补版本，完全缓解了此漏洞。建议用户升级到相应的安全补丁级别：

• Grafana 12.0.1+security-01
• Grafana 11.6.2+security-01
• Grafana 11.5.5+security-01
• Grafana 11.4.5+security-01
• Grafana 11.3.7+security-01
• Grafana 11.2.10+security-01
• Grafana 10.4.19+security-01

作为临时解决方案，管理员可以：

• 移除或禁用dingding联系点配置
• 撤销受损的dingding API 令牌
• 在部署补丁程序之前限制 Viewer 权限