返回技術公告
資安通知嚴重程度高CVSS7.5

Graylog 權限提升與 IPFIX 阻斷服務漏洞，請更新至 7.1.9 以上

Graylog

Graylog 7.0.13 與 7.1.9 修正多項安全問題，其中兩項為高風險：一是建立使用者或修改使用者權限、角色時，系統未檢查操作者本身是否具備所指派的權限，被委派使用者管理權限的非管理員帳號可把自己或他人提升為完整管理員；二是 IPFIX 輸入的解析問題，特製封包可使解析程式過度耗用 CPU、持續阻塞訊息處理，並可能影響其他輸入來源，重新啟動節點也無法解除。Graylog Forwarder 同樣受 IPFIX 問題影響。

影響版本

  • Graylog Server 7.0 分支：7.0.12 及更早版本
  • Graylog Server 7.1 分支：7.1.8 及更早版本
  • Graylog Forwarder 7.5 及更早版本（IPFIX 問題）
  • Graylog 6.3 及更早版本：已停止支援，原廠不提供修補

已修正版本

  • Graylog Server7.0.137.0 分支，2026-09-02 發布
  • Graylog Server7.1.97.1 分支，2026-09-02 發布
  • Graylog Server 7.2.0 起已包含修正（截至 2026-11-04，7.2 分支最新為 7.2.1）
  • Graylog Forwarder7.6

建議處理方式

  1. 將 Graylog Server 更新至 7.0.13、7.1.9 或更新的版本（建議直接更新至所在分支最新版）
  2. 使用 6.3 及更早版本者，應升級至 7.0.13、7.1.9 或後續已包含修正的版本
  3. 使用 Graylog Forwarder 收 IPFIX 者，更新至 7.6 或更新版本
  4. 檢視使用者清單，確認沒有非預期的管理員角色或萬用字元（*）權限，特別是由非管理員建立或修改的帳號
  5. Graylog Enterprise 應檢查稽核紀錄，確認是否有非管理員帳號建立使用者，或變更使用者權限與角色

暫時無法更新時

  • 權限問題：users:create、users:edit、users:permissionsedit 只授予完全信任的管理員，並檢查含這些權限的自訂角色
  • IPFIX 問題：原廠表示無已知替代措施；無法立即更新時，可限制 IPFIX 接聽連接埠只允許受信任的流量匯出設備傳送，僅能降低暴露風險，不能取代更新

如何確認是否受影響

  • 於 Graylog 網頁介面「System → Overview」或「System → Nodes」查看版本
  • 於「System → Inputs」確認是否有 IPFIX 輸入
  • 使用 Graylog Forwarder 者，確認各 Forwarder 版本已達 7.6，並檢查其輸入設定檔是否包含 IPFIX

參考來源

Graylog GitHub Security Advisory GHSA-w9wq-g358-3x8g：Privilege escalation via user creationgithub.comGraylog GitHub Security Advisory GHSA-xwgc-q8x5-538w：IPFIX input parsergithub.comGraylog GitHub Security Advisory GHSA-vpqc-v737-94g9：Palo Alto Networks input parsergithub.comGraylog Changeloggo2docs.graylog.orgGraylog 文件：Forwarder 安裝與輸入設定檔go2docs.graylog.orgCISA Known Exploited Vulnerabilities Catalog（官方資料集）www.cisa.gov

本文依原廠與公開漏洞資料庫資訊整理，實際影響請以原廠公告為準。

相關公告