Failles Grafana - déni de service, usurpation et permissions Git Sync contournées

Plusieurs failles Grafana viennent d’être corrigées, dont CVE-2026-107509, qui permet à un utilisateur Viewer de provoquer un arrêt du service par épuisement mémoire, et CVE-2026-102589, qui concerne l’usurpation d’identité entre certaines instances. Quatre autres vulnérabilités touchent les permissions et les opérations de Git Sync, notamment CVE-2026-14242. Les versions correctives ont été publiées le 10 novembre 2026 et les fiches CVE le 11 novembre. Notes officielles de Grafana 13.3.1.

La supervision doit elle aussi être maintenue et protégée. Un service qui centralise les tableaux de bord et les accès aux données d’exploitation fait partie des dépendances à préserver pendant un incident.

CVE-2026-107509 - un compte Viewer peut faire tomber Grafana

La première faille concerne SQL Expressions, une fonction de traitement des données dans Grafana. Un utilisateur disposant du rôle Viewer peut envoyer une requête demandant une allocation mémoire démesurée, jusqu’à provoquer un plantage du service. La fiche attribue à cette vulnérabilité un score CVSS 3.1 de 6,5/10. Fiche officielle CVE-2026-107509.

Les versions déclarées affectées sont 13.1.0 à 13.1.9, 13.2.0 à 13.2.5 et 13.3.0, pour Grafana OSS et Enterprise. L’attaque suppose l’accès à la fonction concernée avec un compte utilisateur ; le défaut documenté est un déni de service, pas une exécution de code.

Le rôle de lecture ne dispense donc pas d’évaluer les capacités de calcul accessibles. Pour une plateforme partagée, notre recommandation est de revoir aussi les comptes invités, les accès externes et les fonctions effectivement nécessaires aux utilisateurs.

Git Sync - des droits de dossier contournés

Git Sync permet de gérer des ressources Grafana depuis des dépôts. Plusieurs chemins de son API ne respectaient pas correctement les limites de permissions :

CVE	Conséquence décrite
CVE-2026-13721	Un utilisateur autorisé à modifier un dossier pouvait modifier, déplacer ou supprimer des ressources provisionnées dans d’autres dossiers où il ne disposait que d’un accès en lecture.
CVE-2026-14242	Un utilisateur Editor pouvait créer des tâches Git Sync réalisant des opérations au-delà des permissions prévues sur les dossiers.
CVE-2026-111024	L’API des fichiers du dépôt pouvait permettre à un Viewer de lire des ressources interdites, ou à un Editor de les modifier.

Sources : CVE-2026-13721, CVE-2026-14242, CVE-2026-111024.

Une quatrième faille, CVE-2026-110992, touche les tâches de suppression et de déplacement. Un chemin mal contrôlé permet de sortir du répertoire prévu. Avec un dépôt sur le système de fichiers local, les versions antérieures à 13.0.4 et 13.1.1 pouvaient ainsi atteindre des fichiers de l’hôte Grafana. Les versions plus récentes restent à examiner selon le périmètre de la fiche et les correctifs de novembre. Fiche officielle CVE-2026-110992.

L’intérêt opérationnel est direct : les permissions doivent rester effectives dans les API et les automatisations, autant que dans l’interface. Après correction, nous recommandons de vérifier les opérations réelles des comptes et des pipelines qui gèrent les tableaux de bord.

CVE-2026-102589 - un jeton de rendu partagé entre plusieurs instances

Cette faille concerne des instances indépendantes qui utilisent le même [rendering] renderer_token, avec la fonction renderAuthJWT activée. Une clé de rendu émise par une instance peut être acceptée par une autre, avec un risque d’agir sous l’identité de l’utilisateur portant le même identifiant dans cette seconde instance. La fonction est activée par défaut à partir de Grafana 13.0.0 ; son état doit être vérifié sur les versions précédentes concernées. Fiche officielle CVE-2026-102589.

La fiche couvre plusieurs branches, y compris des versions antérieures à Grafana 13, et attribue un score CVSS 3.1 de 7,1/10. Le partage du secret entre instances fait partie des conditions à réunir.

Notre recommandation est d’inventorier les services de rendu et les secrets associés, puis de supprimer les réutilisations inutiles entre environnements. La mise à jour et la séparation des accès répondent ici à deux besoins complémentaires.

Quelles versions installer ?

Pour les branches Grafana 13, les notes officielles confirment la correction des six CVE présentées dans les versions suivantes :

Branche	Version corrective publiée
13.3	13.3.1
13.2	13.2.6
13.1	13.1.10
13.0	13.0.13

Ces versions contiennent aussi d’autres corrections selon la branche. Grafana 12.4.15 inclut notamment un correctif pour CVE-2026-102589, mais son journal ne constitue pas une matrice identique à celle de Grafana 13. Notes de Grafana 12.4.15.

Pour un parc hétérogène, rapprochez chaque instance de sa version, de ses fonctions actives et des fiches CVE. Une installation ancienne doit rejoindre une branche maintenue adaptée à son environnement.

Corriger la supervision sans perdre la visibilité

Nous recommandons de préparer la mise à jour comme celle d’un service d’exploitation :

1. Recenser toutes les instances, leurs versions, les dépôts Git Sync, les fonctions SQL Expressions et les services de rendu utilisés.
2. Sauvegarder la base et la configuration, avec les éléments nécessaires à la restauration du service.
3. Déployer le paquet ou l’image corrigée, puis vérifier la version réellement exécutée après redémarrage.
4. Tester le parcours d’exploitation : authentification, sources de données, tableaux de bord, règles d’alerte et notifications.
5. Contrôler les permissions et les automatisations, notamment les comptes Viewer et Editor et les opérations Git Sync.

Dans Docker, modifier une référence d’image dans un fichier ne démontre pas que le conteneur a été recréé avec la bonne version. Le contrôle doit porter sur le service qui tourne réellement.

Cette maintenance prolonge la démarche décrite dans notre article sur la supervision d’une infrastructure saine. La visibilité dépend aussi de la disponibilité et de la sécurité des outils qui la fournissent.

Chez Forget About IT, nous intégrons la maintenance de ces dépendances à l’infogérance des infrastructures Linux. Pour examiner vos outils de supervision et préparer leurs mises à jour, échangeons sur votre environnement.

FAQ - failles Grafana

Ces failles sont-elles exploitables sans compte ?

Les six vulnérabilités présentées nécessitent un accès utilisateur et des conditions propres aux fonctions concernées. Les rôles Viewer et Editor peuvent suffire dans certains scénarios ; le périmètre dépend de SQL Expressions, de Git Sync ou du rendu d’images partagé.

Quelles versions Grafana 13 corrigent ce lot ?

Les notes confirment les correctifs dans 13.3.1, 13.2.6, 13.1.10 et 13.0.13. Il faut retenir la version maintenue adaptée à la branche utilisée et vérifier les fonctions actives sur chaque instance.