Grafana 13.2.4 corrige quatre failles de sécurité

Grafana Labs a publié le 13 octobre une série de versions correctives de Grafana : 13.2.4, 13.1.8, 13.0.11 et 12.4.13. Elles corrigent quatre vulnérabilités de gravité moyenne, touchant notamment la synchronisation Git (Git Sync), l'API de conversion de règles Prometheus et la source de données Azure Monitor. Rien de critique, mais une mise à jour à planifier pour les instances auto-hébergées, d'autant que la série précédente de correctifs ne date que du 29 septembre.

Quatre failles de gravité moyenne

Selon les avis de sécurité de Grafana Labs, les quatre vulnérabilités corrigées sont les suivantes :

• CVE-2026-93294 (CVSS 6,3) : le proxy de ressources de la source de données Azure Monitor permet d'appeler des API Azure Resource Manager arbitraires ;
• CVE-2026-15577 (CVSS 6,5) : un utilisateur ou un compte de service disposant d'un accès en lecture seule aux connexions Git Sync peut modifier la configuration d'une connexion via sa sous-ressource de statut ;
• CVE-2026-95502 (CVSS 5,3) : un serveur Git malveillant peut provoquer un épuisement de la mémoire via Git Sync ;
• CVE-2026-33374 (CVSS 6,5) : les points d'accès de l'API de conversion de règles Prometheus ne limitent pas la taille du corps des requêtes, ce qui permet à un utilisateur authentifié de déclencher des allocations mémoire non bornées et de faire tomber le serveur.

Les trois dernières versions majeures reçoivent les quatre correctifs. La branche 12.4 (12.4.13) n'intègre pas celui de CVE-2026-95502 dans ses notes de version. Pour CVE-2026-15577, l'avis précise que sur Grafana 12.4, l'API concernée n'est exposée que si l'option expérimentale de provisioning est activée.

Les notes de version mentionnent aussi un correctif pour CVE-2026-92539, qui concerne les points d'accès SCIM de l'édition Enterprise, sans avis détaillé publié à ce stade sur la page des avis de sécurité.

Les autres changements

Au-delà de la sécurité, ces versions retirent les en-têtes sensibles lors des redirections OAuth2 vers un autre hôte dans le module d'alerting. La 13.2.4 apporte en outre plusieurs ajustements au provisioning et à Git Sync : prévisualisations dans les dossiers non synchronisés, rejet des noms de ressources invalides avant les appels d'API, affichage de l'heure de la dernière vérification, ou encore arrêt des prévisualisations pour les pull requests issues de forks.

Quelle version installer

Les avis indiquent les versions corrigées par branche : 13.2.4, 13.1.8, 13.0.11 et 12.4.13. Les pages d'avis ne proposent pas de mesure de contournement : la mise à jour reste la seule remédiation documentée. Les utilisateurs de Grafana Cloud n'ont en principe rien à faire, les correctifs étant déployés par l'éditeur.

Ces correctifs s'ajoutent à ceux du 29 septembre (13.2.3, 13.1.7, 13.0.10 et 12.4.12), qui traitaient déjà quatre failles de gravité moyenne, dont une exposition de règles d'alerte situées dans des dossiers à accès restreint. Pour les équipes qui gèrent leur stack d'observabilité sur Kubernetes, c'est l'occasion de grouper cette mise à jour avec celle des clusters, alors que Kubernetes 1.34 arrive en fin de vie le 27 octobre.