ग्राफाना में कमजोरियाँ जो सिस्टम पर फ़ाइलों तक पहुंच की अनुमति देती हैं

ओपन डेटा विज़ुअलाइज़ेशन प्लेटफ़ॉर्म ग्राफाना में एक भेद्यता (सीवीई-2021-43798) की पहचान की गई है, जो आपको बेस डायरेक्टरी से परे भागने और सर्वर के स्थानीय फ़ाइल सिस्टम में मनमानी फ़ाइलों तक पहुंच प्राप्त करने की अनुमति देता है, जहां तक ​​​​एक्सेस अधिकार की बात है जिस उपयोगकर्ता के अंतर्गत ग्राफाना चल रहा है वह अनुमति देता है। समस्या पथ हैंडलर के गलत संचालन के कारण होती है "/public/plugins/ /", जिसने अंतर्निहित निर्देशिकाओं तक पहुंचने के लिए ".." वर्णों के उपयोग की अनुमति दी।

विशिष्ट पूर्व-स्थापित प्लगइन्स के यूआरएल तक पहुंच कर भेद्यता का फायदा उठाया जा सकता है, जैसे "/पब्लिक/प्लगइन्स/ग्राफ/", "/पब्लिक/प्लगइन्स/मायस्कल/" और "/पब्लिक/प्लगइन्स/प्रोमेथियस/" (लगभग 40) कुल मिलाकर प्लगइन्स पहले से इंस्टॉल हैं)। उदाहरण के लिए, /etc/passwd फ़ाइल तक पहुंचने के लिए, आप अनुरोध भेज सकते हैं "/public/plugins/prometheus/../../../../../../../../etc /पासवार्ड"। शोषण के निशानों की पहचान करने के लिए, http सर्वर लॉग में "..%2f" मास्क की उपस्थिति की जांच करने की अनुशंसा की जाती है।

समस्या संस्करण 8.0.0-बीटा1 से शुरू हुई और ग्राफाना 8.3.1, 8.2.7, 8.1.8 और 8.0.7 के रिलीज में ठीक की गई, लेकिन फिर दो और समान कमजोरियों की पहचान की गई (सीवीई-2021-43813, CVE-2021- 43815) जो ग्राफाना 5.0.0 और ग्राफाना 8.0.0-बीटा3 से शुरू होता है, और एक प्रमाणित ग्राफाना उपयोगकर्ता को एक्सटेंशन ".md" और ".csv" (फ़ाइल के साथ) के साथ सिस्टम पर मनमानी फ़ाइलों तक पहुंचने की अनुमति देता है नाम केवल निचले या केवल बड़े अक्षरों में), पथों में ".." वर्णों के हेरफेर के माध्यम से "/api/plugins/.*/markdown/.*" और "/api/ds/query"। इन कमजोरियों को खत्म करने के लिए ग्राफाना 8.3.2 और 7.5.12 अपडेट बनाए गए।

स्रोत: opennet.ru