Grafana datu irekiak bistaratzeko plataforman ahultasun bat (CVE-2021-43798) identifikatu da, oinarrizko direktoriotik haratago ihes egiteko eta zerbitzariaren tokiko fitxategi-sistemako fitxategi arbitrarioetara sarbidea izateko, sarbide-eskubideei dagokienez. Grafana exekutatzen ari den erabiltzailearen baimena ematen du. Arazoa bide-kudeatzailearen "/public/plugins/" okerraren funtzionamenduak eragiten du /", horrek ".." karaktereak erabiltzeko aukera ematen zuen azpiko direktorioetara sartzeko.
Zaurgarritasuna aurrez instalatutako plugin tipikoen URLra sartuz erabil daiteke, hala nola, β/public/plugins/graph/β, β/public/plugins/mysql/β eta β/public/plugins/prometheus/β (40 inguru). pluginak aurrez instalatuta daude guztira). Adibidez, /etc/passwd fitxategira sartzeko, "/public/plugins/prometheus/../../../../../../../../etc" eskaera bidal dezakezu. /passwd" . Ustiapenaren arrastoak identifikatzeko, http zerbitzariaren erregistroetan β..%2fβ maskara dagoen egiaztatzea gomendatzen da.
Arazoa 8.0.0-beta1 bertsiotik hasita agertu zen eta Grafana 8.3.1, 8.2.7, 8.1.8 eta 8.0.7 bertsioetan konpondu zen, baina gero antzeko beste bi ahultasun identifikatu ziren (CVE-2021-43813, CVE-2021- 43815) Grafana 5.0.0 eta Grafana 8.0.0-beta3-tik hasita agertu zen, eta autentifikatutako Grafana erabiltzaileari ".md" eta ".csv" luzapenekin (fitxategiarekin) sistemako fitxategi arbitrarioak atzitzeko aukera ematen zion. izenak xehean soilik edo larriz bakarrik), "/api/plugins/.*/markdown/.*" eta "/api/ds/query" bideetako β..β karaktereen manipulazioaren bidez. Ahultasun horiek kentzeko, Grafana 8.3.2 eta 7.5.12 eguneraketak sortu ziren.
Iturria: opennet.ru