S'ha identificat una vulnerabilitat (CVE-2021-43798) a la plataforma de visualització de dades obertes Grafana, que permet escapar més enllà del directori base i accedir a fitxers arbitraris del sistema de fitxers local del servidor, pel que fa als drets d'accés. de l'usuari sota el qual s'executa Grafana ho permet. El problema és causat per un funcionament incorrecte del gestor de camins "/public/plugins/ /", que permetia l'ús de caràcters ".." per accedir als directoris subjacents.
La vulnerabilitat es pot explotar accedint a l'URL dels connectors preinstal·lats típics, com ara "/public/plugins/graph/", "/public/plugins/mysql/" i "/public/plugins/prometheus/" (uns 40 els connectors estan preinstal·lats en total). Per exemple, per accedir al fitxer /etc/passwd, podeu enviar la sol·licitud "/public/plugins/prometheus/../../../../../../../../etc /passwd". Per identificar rastres d'explotació, es recomana comprovar la presència de la màscara “..%2f” als registres del servidor http.
El problema va aparèixer a partir de la versió 8.0.0-beta1 i es va solucionar en les versions de Grafana 8.3.1, 8.2.7, 8.1.8 i 8.0.7, però després es van identificar dues vulnerabilitats similars més (CVE-2021-43813, CVE-2021-43815) que va aparèixer a partir de Grafana 5.0.0 i Grafana 8.0.0-beta3 i permetia a un usuari de Grafana autenticat accedir a fitxers arbitraris del sistema amb les extensions ".md" i ".csv" (amb fitxer noms només en minúscules o només en majúscules), mitjançant la manipulació dels caràcters “..” als camins “/api/plugins/.*/markdown/.*” i “/api/ds/query”. Per eliminar aquestes vulnerabilitats, es van crear les actualitzacions de Grafana 8.3.2 i 7.5.12.
Font: opennet.ru