CVE-2026-63087: Kritisk hul i Grafana OnCall uden login
Grafana OnCall op til version 1.16.11 kan overtages uden login. Opdatér eller afskærm pluginet straks.
Hvad er det?
CVE-2026-63087 er en sårbarhed i Grafana OnCall, som er et plugin til vagtplanlægning og alarmhåndtering oven på Grafana. Fejlen ligger i et internt installationsendepunkt, som mangler adgangskontrol. Endepunktet bruger faste standardværdier for stack_id og org_id, som findes i den offentlige kildekode. En angriber kan sende en almindelig POST-forespørgsel til dette endepunkt og få udleveret et gyldigt PluginAuthToken, altså et adgangsbevis, uden at logge ind. Med det token kan angriberen tilgå alle interne API-endepunkter, oprette nye administratorbrugere, inddrage det rigtige plugintoken og ændre, hvor OnCall sender sine API-kald hen. Fejltypen kaldes CWE-306, manglende autentificering af en kritisk funktion.
Hvem rammer det?
Sårbarheden rammer alle, der selv driver Grafana OnCall i version 1.16.11 eller tidligere, og som har pluginets installationsendepunkt tilgængeligt på et netværk, angriberen kan nå. Det gælder typisk kommuner og virksomheder, der bruger Grafana til overvågning og OnCall til at styre vagtplaner og alarmer for it-drift eller teknisk drift. Grafana Cloud-kunder, hvor Grafana Labs selv drifter platformen, er ikke nødvendigvis berørt på samme måde, men bør stadig bekræfte deres opsætning.
Hvad kan ske?
En angriber, der udnytter fejlen, får reelt fuld kontrol over OnCall-installationen og kan derfra oprette sig selv som administrator i Grafana. Det åbner for adgang til dashboards, alarmregler og eventuelle hemmeligheder gemt i Grafana, samt mulighed for at slette eller manipulere alarmer, så it-driften ikke bliver advaret ved reelle hændelser. Ved at omdirigere OnCall’s kald til en server, angriberen kontrollerer, kan angriberen også opsnappe fremtidig trafik og legitimationsoplysninger.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ikke login, ingen brugerhandling og kan udføres over netværket med lav kompleksitet. Konsekvensen rammer fortrolighed, integritet og tilgængelighed fuldt ud, da angriberen kan læse data, ændre data og forstyrre driften. Det er ikke bekræftet, at sårbarheden aktivt udnyttes i angreb, men den tekniske beskrivelse er så detaljeret, at et fungerende angreb kan bygges hurtigt.
Hvad gør jeg nu?
Prioritér følgende, hvis I kører Grafana OnCall selv:
- Undersøg, om jeres Grafana OnCall er version 1.16.11 eller ældre, og opgradér til den nyeste udgivne version fra Grafana Labs, så snart en rettet version foreligger.
- Afskær adgang til pluginets installationsendepunkt fra internettet og fra netværk, I ikke stoler på, indtil en opdatering er på plads.
- Gennemgå listen over administratorbrugere i Grafana for uventede eller ukendte konti.
- Kontrollér, om organisationens grafana_url og api_token-indstillinger er ændret uden jeres viden.
- Roter plugintokens og andre nøgler, der kan være eksponeret, hvis I finder tegn på uautoriseret adgang.
- Kontakt en sikkerhedsrådgiver, hvis I finder tegn på kompromittering, eller hvis I ikke selv kan verificere jeres opsætning.
Afskær adgang nu, opdatér straks ved patch
Vi anbefaler, at I straks afskærer det interne installationsendepunkt for Grafana OnCall fra åbne netværk og internettet, uanset om en rettet version er udgivet endnu. Gennemgå samtidig jeres administratorbrugere og API-nøgler for tegn på misbrug. Det er ikke forsvarligt at vente til en almindelig opdateringsrunde, fordi angrebet kan udføres uden login og med simple værktøjer.
Tidslinje
Konkrete eksempler
Overtagelse af vagtplansystem i teknisk afdeling
En mellemstor dansk fremstillingsvirksomhed bruger Grafana OnCall til at styre vagtplaner for sit driftsteam. En angriber finder installationsendepunktet eksponeret på virksomhedens netværk og henter et gyldigt token uden at logge ind. Angriberen opretter en administratorkonto, slår alarmer fra for et kritisk produktionssystem og omdirigerer API-kaldene, så virksomhedens driftshold ikke opdager fejlen, før produktionen allerede er gået i stå.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi kører en sårbar version af Grafana OnCall?
Slå version op i jeres Grafana-administrationspanel under pluginoversigten, eller spørg den, der drifter jeres Grafana-installation. Er versionen 1.16.11 eller lavere, er I berørt.
Er vi ramt, hvis vi bruger Grafana Cloud?
Bruger I Grafana Cloud, hvor Grafana Labs drifter platformen for jer, er risikoen typisk mindre, men det er stadig værd at bekræfte med jeres udbyder, om deres opsætning er berørt af det interne endepunkt.
Kan vi vente til den planlagte opdateringsrunde i næste måned?
Nej. Sårbarheden kræver hverken login eller brugerhandling og kan udnyttes over netværket. Afskær adgangen til det sårbare endepunkt nu, og opgradér, så snart en rettet version findes.
Hvordan tjekker vi, om vi allerede er blevet ramt?
Gennemgå listen over administratorbrugere i Grafana for konti, I ikke selv har oprettet, og kontrollér organisationens grafana_url og api_token for uventede ændringer. Se også logfiler for POST-forespørgsler til pluginets installationsendepunkt fra ukendte kilder.
Skal vi anmelde hændelsen, hvis vi finder tegn på misbrug?
Finder I tegn på, at data er blevet tilgået eller ændret uden tilladelse, bør I vurdere jeres anmeldepligt efter databeskyttelsesloven og eventuelt kontakte Datatilsynet samt en sikkerhedsrådgiver for hjælp til det videre forløb.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Grafana OnCall through 1.16.11 contains an unauthenticated access vulnerability that allows remote attackers to obtain a valid PluginAuthToken by sending a POST request to the internal plugin install endpoint using hardcoded default stack_id and org_id values present in the public source tree. Attackers can leverage the acquired token to authenticate against all internal API endpoints, create arbitrary Admin users via the user-context header bootstrap path, revoke the legitimate plugin token, and redirect OnCall-to-Grafana API calls to an attacker-controlled host by overwriting the organization’s grafana_url and api_token.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.