Grafana 动态仪表板权限绕过漏洞：Editable 标志失效

概述

在 Grafana 13.0.1 版本中，新引入并作为默认选项的“动态仪表板”布局引擎存在一个严重的功能缺陷：仪表板层级的“可编辑”标志被完全忽略。这导致任何用户（无论其角色）都可以通过鼠标或触摸手势拖拽面板，改变其所在的行，从而破坏精心设计的仪表板布局。此问题在显示、Kiosk 模式或共享链接等需要稳定视图的场景下尤为突出，因为它直接破坏了监控界面的可靠性和一致性，是典型的由前端逻辑缺陷引发的可靠性风险。grafana-dashboard-management

核心概念

动态仪表板 (Dynamic Dashboards)：Grafana 13.x 引入的一种新布局模式，旨在提供更灵活的行与面板管理，现已成为默认选项。它允许面板在不同行之间自由拖动。
仪表板可编辑标志 (Editable Flag)：在仪表板设置中控制是否允许修改仪表板布局和面板配置的核心权限标志。当设置为 off 时，预期应禁止所有用户的编辑操作。
权限绕过 (Permission Bypass)：此处指前端 UI 组件未能正确读取或执行后端设定的权限状态，导致用户可以执行与授权不符的操作。这是一个纯客户端侧的漏洞，因为修改不会被持久化保存到后端。
布局一致性 (Layout Consistency)：对于监控仪表板而言，确保在不同终端、不同用户间看到一致、稳定的面板布局，是准确解读监控数据、进行有效事件响应的基础。

实践

问题重现步骤

以下步骤可稳定重现该漏洞，适用于任何用户角色（包括管理员）：

环境准备：运行 Grafana 13.0.1 实例（例如使用 Docker 部署）。
创建/打开仪表板：打开一个使用了新“动态仪表板”布局引擎的多行仪表板。
设置权限：进入仪表板设置 -> 常规 (General)，将“可编辑 (Editable)”开关切换至关闭状态，并保存。
重新加载：刷新页面，确保以只读模式加载。
执行拖拽：
- 桌面端：使用鼠标点击并按住一个面板，将其从一个行拖动到另一个行。
- 移动端：在触摸屏上长按面板并拖动。
观察现象：
- 面板会移动，布局会实时重排，尽管仪表板已标记为不可编辑。
- 视觉上的布局更改会一直保持，直到页面被重新加载。
- 重新加载后，原始布局恢复，证明更改未被持久化到仪表板 JSON，但客户端操作已被允许。

影响分析

该漏洞的主要影响并非数据丢失，而是 界面稳定性的破坏。它使得为展示（如 NOC 大屏）、kiosk 模式或固定链接共享而设计的布局变得脆弱，用户（无论是有意还是无意，特别是在移动端滚动时）可以轻易打乱布局。对于 SRE 团队而言，这可能导致在关键事件排查时，仪表板无法呈现预期的关联数据视图，影响分析效率。

SRE 要点

与可靠性、可观测性、事件响应的关联

可靠性：仪表板作为监控系统的核心用户界面，其布局稳定性是系统“可用性”体验的一部分。此漏洞降低了 Grafana 作为监控工具的可靠用户体验。
可观测性：一致的仪表板布局有助于快速定位和理解系统状态。布局的意外改变会引入噪声，干扰对 SLO 健康状况的直观判断。
事件响应：在紧急事件中，响应人员依赖于熟悉、固定的仪表板布局来快速获取信息。此漏洞可能在关键时刻迫使响应人员分心去修复界面，延误故障诊断。

最佳实践与常见反模式

最佳实践：
1. 版本控制与发布监控：对 Grafana 进行升级后，应有一套包含核心仪表板在内的 UI 冒烟测试，以捕获此类回归缺陷。
2. 最小权限与界面审计：意识到“可编辑”标志可能在前端被绕过。对于关键只读视图，应考虑通过 Grafana 文件夹/仪表板权限进行更细粒度的控制，并定期审计。
3. 用户沟通与培训：告知用户此已知问题，避免在移动端滚动时误操作，并在问题修复前，将关键共享视图暂时冻结（如通过导出为静态快照或使用旧版布局引擎）。
常见反模式：
- 仅依赖单一的 UI 层权限控制来保障关键视图的稳定性，而忽略了前端逻辑的潜在缺陷。
- 在自动化生成或大规模管理仪表板时，未将此类前端权限漏洞纳入风险评估。