FICHE CVE

CVE-2026-28377

Publiée le 2026-03-26 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les installations de Grafana Tempo utilisant le chiffrement S3 SSE-C sont affectées par une fuite d'informations via le point de terminaison `/status/config`. Un attaquant non authentifié ayant un accès réseau au serveur peut lire ce point de terminaison pour obtenir, en clair, les clés de chiffrement utilisées pour les données de trace. Comme aucun privilège spécial ni interaction de l'utilisateur n'est requis, l'exploitation est simple à exécuter.

CVSS 3.17.5 ÉLEVÉE

Type de faiblesse

CWE-326

Publiée2026-03-26

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéAucun

Impact sur la disponibilitéAucun

RÉFÉRENCES

security@grafana.com

Description officielle du NVD (en anglais)

A vulnerability in Grafana Tempo exposes the S3 SSE-C encryption key in plaintext through the /status/config endpoint, potentially allowing unauthorized users to obtain the key used to encrypt trace data stored in S3. Thanks to william_goodfellow for reporting this vulnerability.