Une vulnérabilité (CVE-2021-43798) a été découverte dans la plateforme ouverte de visualisation de données Grafana, permettant de sortir du répertoire de base et d'accéder à des fichiers arbitraires dans le système de fichiers local du serveur, selon les droits d'accès de l'utilisateur sous lequel Grafana s'exécute. Le problème est causé par un traitement incorrect du chemin « /public/plugins// », qui permettait l'utilisation des caractères « .. » pour accéder aux répertoires parents.
La vulnérabilité peut être exploitée via l'accès à l'URL de plugins préinstallés tels que «/public/plugins/graph/», «/public/plugins/mysql/» et «/public/plugins/prometheus/» (environ 40 plugins au total sont préinstallés). Par exemple, pour accéder au fichier /etc/passwd, une requête pourrait être envoyée : «/public/plugins/prometheus/................etc/passwd». Pour détecter des traces d'exploitation, il est recommandé de vérifier la présence du masque «..» dans les journaux du serveur HTTP.
Le problème a commencé à se manifester à partir de la version 8.0.0-beta1 et a été corrigé dans les versions Grafana 8.3.1, 8.2.7, 8.1.8 et 8.0.7, mais deux vulnérabilités similaires (CVE-2021-43813, CVE-2021-43815) ont ensuite été identifiées, apparaissant à partir des versions Grafana 5.0.0 et Grafana 8.0.0-beta3, permettant à un utilisateur authentifié de Grafana d'accéder à des fichiers arbitraires dans le système avec les extensions « .md » et « .csv » (avec des noms de fichiers en minuscules ou en majuscules uniquement), via la manipulation des caractères « .. » dans les chemins « /api/plugins/.*./markdown/.* » et « /api/ds/query ». Des mises à jour Grafana 8.3.2 et 7.5.12 ont été publiées pour corriger ces vulnérabilités.
Source : opennet.ru
