'n Kwesbaarheid (CVE-2021-43798) is geïdentifiseer in die oop datavisualiseringsplatform Grafana, wat jou toelaat om verby die basisgids te ontsnap en toegang te verkry tot arbitrêre lêers in die plaaslike lêerstelsel van die bediener, sover dit die toegangsregte betref. van die gebruiker waaronder Grafana loop toelaat. Die probleem word veroorsaak deur die verkeerde werking van die padhanteerder "/public/plugins/ /", wat die gebruik van ".." karakters toegelaat het om toegang tot onderliggende gidse te verkry.
Die kwesbaarheid kan uitgebuit word deur toegang te verkry tot die URL van tipiese vooraf geïnstalleerde inproppe, soos "/public/plugins/graph/", "/public/plugins/mysql/" en "/public/plugins/prometheus/" (ongeveer 40 plugins is in totaal vooraf geïnstalleer). Byvoorbeeld, om toegang tot die /etc/passwd-lêer te verkry, kan jy die versoek "/public/plugins/prometheus/../../../../../../../../etc stuur /passwd". Om spore van uitbuiting te identifiseer, word dit aanbeveel om te kyk vir die teenwoordigheid van die "..%2f"-masker in die http-bedienerlogboeke.
Die probleem het vanaf weergawe 8.0.0-beta1 verskyn en is opgelos in die vrystellings van Grafana 8.3.1, 8.2.7, 8.1.8 en 8.0.7, maar toe is nog twee soortgelyke kwesbaarhede geïdentifiseer (CVE-2021-43813, CVE-2021- 43815) wat vanaf Grafana 5.0.0 en Grafana 8.0.0-beta3 verskyn het, en 'n geverifieerde Grafana-gebruiker toegelaat het om toegang te verkry tot arbitrêre lêers op die stelsel met die uitbreidings ".md" en ".csv" (met lêer name slegs in die onderste of slegs in hoofletters), deur manipulasie van die “..” karakters in die paaie “/api/plugins/.*/markdown/.*” en “/api/ds/query”. Om hierdie kwesbaarhede uit te skakel, is Grafana 8.3.2- en 7.5.12-opdaterings geskep.
Bron: opennet.ru