In der offenen Datenvisualisierungsplattform Grafana wurde eine Schwachstelle (CVE-2021-43798) entdeckt, die es ermöglicht, über das Basisverzeichnis hinauszugehen und auf beliebige Dateien im lokalen Dateisystem des Servers zuzugreifen, basierend auf den Zugriffsrechten des Benutzers, unter dem Grafana ausgeführt wird. Das Problem entsteht durch die fehlerhafte Handhabung des Pfadverarbeiters „/public/plugins//“, bei dem die Verwendung von „..“ zum Zugriff auf untergeordnete Verzeichnisse erlaubt war.
Уязвимость может быть эксплуатирована через обращение к URL типовых предустановленных плагинов, таких как «/public/plugins/graph/», «/public/plugins/mysql/» и «/public/plugins/prometheus/» (всего предустановлено около 40 плагинов). Например, для доступа к файлу /etc/passwd можно было отправить запрос «/public/plugins/prometheus/../../../../../../../../etc/passwd». Для выявления следов эксплутации рекомендуется проверить наличие маски «..%2f» в логах http-сервера.
Das Problem trat ab Version 8.0.0-beta1 auf und wurde in den Versionen Grafana 8.3.1, 8.2.7, 8.1.8 und 8.0.7 behoben, jedoch wurden anschließend zwei ähnliche Schwachstellen (CVE-2021-43813, CVE-2021-43815) entdeckt, die ab den Versionen Grafana 5.0.0 und Grafana 8.0.0-beta3 auftraten und es authentifizierten Grafana-Nutzern ermöglichten, auf beliebige Dateien im System mit den Erweiterungen „.md“ und „.csv“ (Dateinamen nur in Klein- oder Großbuchstaben) zuzugreifen, indem sie mit den Symbolen „..“ in den Pfaden „/api/plugins/.*/markdown/.*“ und „/api/ds/query“ manipulierten. Um diese Schwachstellen zu beheben, wurden die Updates Grafana 8.3.2 und 7.5.12 bereitgestellt.
Quelle: opennet.ru
