Las versiones de Grafana 8.3.4 y 7.5.13 se liberaron el pasado 18 de enero de 2022. Estas dos nuevas versiones incluyen algunos parches para solucionar importantes problemas de seguridad que afectan a todas las instalaciones de Grafana 7.5.x y 8.x. Estas versiones sólo son vulnerables si el administrador ha utilizado «OAuth forwarding» para fuentes de datos y utiliza llaves de API.
Parche de seguridad del token OAuth Identity (CVE-2022-21673)
El parche publicado en estas nuevas versiones busca solucionar una vulnerabilidad en Grafana 7.2 reportada a principios de enero.
Grafana 7.2 añadía una nueva característica que permitía a las fuentes de datos explícitamente habilitadas reenviar el token OAuth Access del usuario que tuviera la sesión iniciada en el momento de solicitar los datos. Sin embargo, al habilitar esta característica en una fuente de datos y hacer una petición con un token de API a la fuente de datos, el token OAuth Access del usuario que hubiera iniciado sesión más recientemente se utilizaba en lugar del token de API que se acaba de proporcionar.
Tanto Grafana 8.3.4 como Grafana 7.5.13 incluyen el parche de seguridad CVE-2022-21673. La versión 8.3.4 también contiene otros cambios menores que se han publicado como parte de la publicación habitual de parches, al tratarse de un problema de nivel bajo en CVSS:
Actualizar Grafana en RHEL, CentOS, CloudLinux, Rocky Linux o AlmaLinux
La forma más recomendada para actualizar Grafana en Red Hat Enterprise Linux (RHEL), CentOS, CloudLinux, Rocky Linux o AlmaLinux suele ser descargar el rpm del repositorio oficial.
Versión 8.3.4
Descargar el rpm:
wget https://dl.grafana.com/oss/release/grafana-8.3.4-1.x86_64.rpm
Y después ejecutar la instalación con sudo que nos dirá que se procederá a la actualización del paquete de la serie 8.x que tengamos instalado.
sudo yum install grafana-8.3.4-1.x86_64.rpm
Versión 7.5.13
Descargar el rpm:
wget https://dl.grafana.com/oss/release/grafana-7.5.13-1.x86_64.rpm
Y después ejecutar la instalación con sudo que nos dirá que se procederá a la actualización del paquete de la serie 7.5.x que tengamos instalado.
sudo yum install grafana-7.5.13-1.x86_64.rpm
Actualizar Grafana en Ubuntu o Debian
Para sistemas Linux basados en Ubuntu o Debian (64 Bits) deberíamos ejecutar los siguientes comandos que incluyen también la descargar el paquete de instalación para estos sistemas operativos.
sudo apt-get install -y adduser libfontconfig1
wget https://dl.grafana.com/oss/release/grafana_8.3.4_amd64.deb
sudo dpkg -i grafana_8.3.4_amd64.deb
Fuente de la imagen: Linux Screenshots, CC BY 2.0.
