Grafana 보안 릴리스: 운영 버전별 CVE 영향과 패치 판단
Grafana 운영 버전에 해당하는 CVE와 수정 버전을 확인하고, 패치 전 공유 대시보드 토큰에 대응한다.
2026-10-05
운영 버전부터 수정 버전을 정한다
Grafana v13.2.3 / v13.1.7 / v13.0.10 / v12.4.12 (2026-09-29), CVE-2026-13719 · CVE-2026-13720 · CVE-2026-81841 · CVE-2026-81842가 이번 판단의 기준이다. v13.2.3 릴리스노트를 포함해 같은 날 공개된 네 브랜치의 Security 절을 보면, 수정된 CVE 목록이 브랜치마다 다르다.
운영 버전이 12.4부터 13.2 사이에 있다면 먼저 같은 브랜치의 수정 버전을 찾는다. 12.3 이하라면 이번에 공개된 네 릴리스에 해당 브랜치의 패치가 없으므로, CVE 영향 구간을 확인하고 수정 버전으로 이동할 계획을 세워야 한다. 다음 그림은 그 판단 경로를 보여 준다.
| 운영 브랜치 | 이번 수정 버전 | 릴리스노트에 명시된 수정 CVE |
|---|---|---|
| 13.2 | v13.2.3 | 13719, 13720, 81841 |
| 13.1 | v13.1.7 | 13719, 13720, 81841 |
| 13.0 | v13.0.10 | 13719, 13720, 81841, 81842 |
| 12.4 | v12.4.12 | 13719, 13720, 81841, 81842 |
13.1과 13.2의 수정 목록에 81842가 빠진 이유를 패치 누락으로 해석할 필요는 없다. 해당 CVE의 기록된 영향 구간은 13.0.x까지다. 반대로 12.4와 13.0 운영자는 네 CVE 모두를 패치 판단에 넣어야 한다.
CVE별로 노출 조건을 구분한다
같은 릴리스에 묶였어도 확인할 대상은 서로 다르다. 경보 규칙과 대시보드 관리 권한을 점검할 때는 어떤 정보 또는 동작이 영향을 받는지 구분해야 한다.
| CVE | 영향 시작 버전과 조건 | 발생하는 일 | 운영자가 확인할 대상 |
|---|---|---|---|
| CVE-2026-13719 | 12.3.0부터. 인증된 사용자의 읽기 가능 폴더 집합이 비는 경우 | 알림 규칙 목록 API가 폴더 제한 없이 조직의 규칙을 반환한다. 13.1.0부터는 누구나 폴더 필터로 이 조건을 유발할 수 있다. 데이터소스 자격증명은 노출되지 않는다. | 제한된 폴더의 알림 규칙과 해당 API를 이용하는 사용자 |
| CVE-2026-13720 | 12.0.0부터. Editor가 대시보드 API로 생성하는 경우 | 파일 프로비저닝 메타데이터를 위조해 대시보드를 관리자가 Grafana에서 수정하거나 삭제할 수 없게 만들 수 있다. 영향은 같은 조직 안에 한정되며 데이터 노출은 없다. | Editor 권한과 대시보드의 파일 프로비저닝 메타데이터 |
| CVE-2026-81841 | 11.6.0부터. 공유 대시보드를 일시정지한 경우 | 폐기되지 않은 토큰으로 비인증 사용자가 데이터소스 설정을 조회할 수 있다. browser access 데이터소스의 저장 자격증명도 포함될 수 있다. | 일시정지한 공유 대시보드와 그 링크 |
| CVE-2026-81842 | 12.1.0부터 13.0.x까지. 한 폴더의 편집 권한과 다른 폴더의 조회 권한이 있는 경우 | 라이브러리 패널을 생성 권한이 없는 대상 폴더로 옮길 수 있다. 대상 폴더의 데이터가 노출되거나 기존 콘텐츠가 변경되지는 않는다. | 라이브러리 패널 이동 권한과 대상 폴더 권한 |
12.3 이하 운영자는 브랜치 이름만으로 네 CVE를 모두 적용해서는 안 된다. 기록된 영향 구간에서 12.3.012.3.11은 네 건 모두에 해당하고, 12.2.012.2.11과 12.1.012.1.10은 13719를 제외한 세 건에 해당한다. 12.0.012.0.10은 13720과 81841, 11.6.0~11.6.17은 81841의 영향 구간에 포함된다. 이 구간에는 이번 네 릴리스와 같은 브랜치의 수정 버전이 제시되지 않았으므로, 운영 버전을 정확히 대조한 뒤 제시된 수정 버전으로 이동할 경로를 정해야 한다.
공유 대시보드는 일시정지 상태를 별도로 처리한다
패치가 끝나기 전에는 일시정지한 공유 대시보드를 확인해야 한다. CVE-2026-81841에서 일시정지는 해당 링크의 액세스 토큰을 폐기하지 않는다. 링크를 가진 사람은 인증 없이 프런트엔드 초기 데이터 제공 엔드포인트에서 데이터소스 설정을 조회할 수 있다. 토큰 폐기가 필요한 공유 대시보드는 삭제해야 한다.
일시정지와 삭제가 토큰 및 조회 가능성에 미치는 차이는 다음 비교에 나타난다.
이 조치는 패치 대상 버전 확인과 별도로 진행할 수 있다. 공유 대시보드가 이미 일시정지되어 있다는 사실만으로 링크가 무효가 되었다고 판단하지 말고, 토큰을 폐기해야 하는 항목을 찾아 삭제 여부를 결정한다.