Grafana Enterprise: Umgehung der Authentifizierung durch Replay (CVE-2026-12704)

Was ist betroffen, was ist zu tun

Wenn die SAML-IdP-initiierte Anmeldung in Grafana Enterprise aktiviert ist, überspringt die SAML-Bibliothek die Überprüfung des InResponseTo-Felds bei allen SAML-Antworten, einschließlich SP-initiierten Anmeldungen. Dies entfernt den Schutz vor Wiederspielangriffen und ermöglicht es einem Angreifer, der eine gültige signierte SAML-Assertion erlangt hat, diese zu wiederholen und sich als Opferbenutzer in einer Sitzung einzuloggen.

Aktualisieren Sie Grafana auf Version 13.1.5.

Betroffen

• Grafana Enterprise lte 11.6.0..11.6.17
• Grafana Enterprise lte 12.2.0..12.2.11
• Grafana Enterprise lte 12.3.0..12.3.11
• Grafana Enterprise lte 12.4.0..12.4.10
• Grafana Enterprise lte 13.0.0..13.0.7
• Grafana Enterprise lte 13.1.0..13.1.4
• Grafana Enterprise lte 13.2.0..13.2.0

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Behandeln Sie die Schwachstelle im regulären Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2.

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Ab dem 11.12.2027 verpflichtet Anhang I Teil II CRA Hersteller betroffener Produkte mit digitalen Elementen, Schwachstellen unverzüglich zu behandeln und Sicherheitsupdates bereitzustellen.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

Wenn die SAML-IdP-initiierte Anmeldung in Grafana Enterprise aktiviert ist, überspringt die SAML-Bibliothek die Überprüfung des InResponseTo-Felds bei allen SAML-Antworten, einschließlich SP-initiierten Anmeldungen. Dies entfernt den Schutz vor Wiederspielangriffen und ermöglicht es einem Angreifer, der eine gültige signierte SAML-Assertion erlangt hat, diese zu wiederholen und sich als Opferbenutzer in einer Sitzung einzuloggen. Nur Instanzen mit der Einstellung allow_idp_initiated für SAML sind betroffen; diese Einstellung ist standardmäßig deaktiviert und Grafana OSS wird nicht beeinflusst.

Quelle: BSI WID Portal, BSI CSAF, OSV (Open Source Vulnerabilities), NVD (NIST), cvelistv5

Hersteller und Produkte

• Grafana Grafana
• Grafana Grafana Enterprise

Weakness-Klassen (CWE)

• CWE-294Authentication Bypass by Capture-replay

  Base

  A capture-replay flaw exists when the design of the product makes it possible for a malicious user to sniff network traffic and bypass authentication by replaying it to the server in question to the same effect as the original message (or with minor changes).

  Eintrag bei MITRE CWE-294

Quellen & Referenzen

• grafana.comsecurity/security-advisories/cve-2026-12704Herstellerhinweis
• NVD (NIST)vuln/detail/CVE-2026-12704web

Änderungen an der CVE

Wer diese CVE wann geändert hat: die NVD (Analyse, betroffene Produkte, CVSS), der Herausgeber der CVE (CNA) und ergänzende Stellen wie CISA (ADP).

1. 02.09.2026Eintrag geändertCISA ADP

   CISA-Einschätzung (SSVC): Ausnutzung: keine bekannt, automatisierbar: nein

   Einzeländerung im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   SSVC-Einschätzung	ergänzt	—	{"id":"CVE-2026-12704","role":"CISA Coordinator","options":[{"exploitation":"none"},{"automatable":"no"},{"technicalImpact":"total"}],"version":"2.0.3","timestamp":"2026-09-02T18:06:37.374630Z"}

   Kennung der Quelle: 134c704f-9b21-4f2e-91b3-4a467353bcc0

2. 02.09.2026Neu erfasstgrafana.com

   CVSS V3.1: AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:N

   Schwachstellentyp: CWE-294

   Beschreibung erfasst oder geändert

   Neue Referenzen:

   • https://grafana.com/security/security-advisories/cve-2026-12704
   5 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Beschreibung	ergänzt	—	When SAML IdP-initiated login is enabled in Grafana Enterprise, the SAML library skips validation of the InResponseTo field on all SAML responses, including SP-initiated logins. This removes anti-replay protection, allowing an attacker who obtains a valid signed SAML assertion to replay it and gain a session as the victim user. Only instances with the allow_idp_initiated SAML setting enabled are affected; this setting is off by default and Grafana OSS is not affected.
   CVSS	ergänzt	—	AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:N
   Schwachstellentyp (CWE)	ergänzt	—	CWE-294
   Betroffene Versionen (Herausgeber)	ergänzt	—	New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/12xxx/CVE-2026-12704.json">CVE-2026-12704</a>
   Referenz	ergänzt	—	https://grafana.com/security/security-advisories/cve-2026-12704

   Kennung der Quelle: security@grafana.com