Grafana Alloy açığı, hazırlanan bearerTokenFile yollarının auth başlıkları üzerinden yerel dosyaları sızdırmasına izin veriyordu

Ne oldu

Grafana'nın açık kaynak telemetri ajanı olan Grafana Alloy, Prometheus tarzı scraping için kullanılan bearer token dosyalarını çözme biçiminde bir güvenlik açığı içeriyordu. CVE-2026-75889 olarak takip edilen bu kusur, bearerTokenFile ayarının olduğu gibi kabul edilmesi anlamına geliyordu: hassas bir dosyayı işaret eden bir yapılandırma, Alloy'nin o dosyayı okumasına ve içeriğini bir Authorization başlığı içinde uzak bir uç noktaya iletmesine yol açıyordu. dev.to üzerindeki bir analize göre sorun CVSS ölçeğinde 7.7 puan aldı ve daha yüksek puanlı birkaç Grafana sorunuyla aynı advisory dalgasında geldi; bu da sınırlı ilgi görmesini açıklayabilir.

Yol neden önemliydi

Bir scraper için token'ı diskten okumak rutin bir işlemdir; asıl mesele yolu kimin seçebildiğidir. dev.to yazısında açıklandığı gibi, Alloy'nin scraping yapılandırması genellikle yapılandırma API'sine veya yapılandırma deposuna erişebilen herkes tarafından yazılır; bu kişiler mutlaka host'u yönetenler değildir. O yol bir saldırgan tarafından etkilenebildiği anda ortaya çıkan sonuç, giden teslimatın de dahil olduğu rastgele bir yerel dosya okumadır: Alloy, dosyanın içeriğini scrape etmesi söylenen hedefe gönderir ve hedef adres de aynı saldırgan kontrollü yapılandırmadan gelir.

Ne açığa çıktı

Ajan kararlı bir kimlikle servis olarak çalıştığı için okuyabildiği dosyalar alışılmadık derecede değerlidir. dev.to makalesi, tipik bir kurulumda erişim dahilinde nelerin olduğunu sıralıyor: doğrudan API erişimine çevrilebilen bulut kimlik bilgisi dosyaları ve workload identity token'ları; remote-write uç noktalarını, Grafana Cloud API anahtarlarını ve scrape edilen her entegrasyonun kimlik bilgilerini barındıran Alloy yapılandırmasının kendisi; ajan bir DaemonSet olarak çalışıp token mount edildiğinde Kubernetes service account token'ları; karşılıklı TLS'in sonlandığı veya başlatıldığı yerlerde TLS private key'ler; ve gözlem altındaki hizmetlerin veritabanı parolalarını sık sık taşıyan environment veya compose dosyaları. Yazarın daha geniş noktası şu: bir gözlemlenebilirlik (observability) ajanı çoğu zaman tüm sisteme ağ erişimi olan tek bileşendir, dolayısıyla yapılandırması aynı zamanda kuruluşun sırlarının bir envanteri gibi işlev görür.

Saldıranlar ayara nasıl ulaşıyor

Tek başına bir dosya okuma hatasının erişimi sınırlıdır; bunun önemli olma nedeni yazma tarafına giden yoldur. dev.to analizi, Alloy'nin yapılandırma API'sinin bazı kurulumlarda kimlik doğrulaması olmadan erişilebilir olduğunu, bunun da API'nin dahili bir arayüzde olduğu varsayımına dayandığını belirtiyor. Yapılandırma parçalarını görüntüleyen bir UI özelliği veya dışarıdan katkı kabul eden bir depoyla birleştiğinde, bir dosya yolu ayarlama yeteneği host yöneticisinin çok altındaki birine kadar iner. Yazının çıkardığı ders genel niteliktedir: telemetri ajanları tasarım gereği talimatları bir yerden alır ve o yer panolarla aynı ağı paylaşıyorsa, ajanın ayrıcalıkları fiilen bir yapılandırma parçası gönderebilen herkese aittir.

Operatörler ne yapmalı

Yazı, yama durumundan bağımsız olarak geçerli olan önlem adımlarını sıralıyor:

• Yaplandırmalarda bearer_token_file ve ilgili yol ayarlarını arayın ve her birinin diskte rastgele bir konuma değil, ayrılmış bir secrets dizinine işaret ettiğini doğrulayın.
• Yapılandırma API'sinin kimlik doğrulaması istediğini ve her arayüze bağlanmadığını teyit edin; ona idari bir uç nokta olarak davranın.
• Ajanın giden bağlantılarında ne scrape hedefi ne de remote-write uç noktası olan varlıkları inceleyin; zira buradaki veri sızdırma normal scraping gibi görünür.
• Etkilenen bir sürüm erişilebilir bir yapılandırma yoluyla çalıştıysa, ajan sürecinin okuyabileceği tüm kimlik bilgilerini döndürün.
• Ajanı salt-okunur kök dosya sistemi, kısa ömürlü projected token'lar ve host'un geri kalanını hariç tutan bir mount seti ile çalıştırın.

Makalenin atıfta bulunduğu Grafana güvenlik duyurusu düzeltilmiş bir sürüm belirliyor; ancak dev.to gönderisi spesifik sürümü adlandırmıyor, bu yüzden operatörler yalamadan önce duyuruya doğrudan başvurmalı.

Neden önemli

Bu hata, gözlemlenebilirlik araçlarının nasıl bir saldırı yoluna dönüştüğünün kompakt bir gösterimidir. Alloy gibi ajanlara bilinçli olarak geniş okuma erişimi ve ağ erişimi verilir ve yapılandırmaları tasarım gereği dinamik olarak değişir. CVE-2026-75889, o yapılandırmayı kontrol eden kişinin hem ayrıcalıklı bir sürecin ne okuyacağını hem de sonucu nereye göndereceğini kontrol ettiğini gösteriyor; üstelik bu trafik rutin telemetri gibi görünen bir iletimin içine sarılı. Kalabalık bir advisory döngüsü içindeki 7.7 puanı, bunu tam da sessizce bir yama penceresini kaçıran sorun türü yapıyor.