È stata identificata una vulnerabilità nella piattaforma di visualizzazione dei dati Grafana (CVE-2021-43798), che consente di uscire dalla directory base e accedere a file arbitrari nel filesystem locale del server, a seconda dei diritti di accesso dell'utente sotto cui viene eseguito Grafana. Il problema è causato da un errato funzionamento del gestore di percorsi «/public/plugins/ /», che consentiva l'uso di caratteri «..» per accedere alle directory sottostanti.
Уязвимость может быть эксплуатирована через обращение к URL типовых предустановленных плагинов, таких как «/public/plugins/graph/», «/public/plugins/mysql/» и «/public/plugins/prometheus/» (всего предустановлено около 40 плагинов). Например, для доступа к файлу /etc/passwd можно было отправить запрос «/public/plugins/prometheus/../../../../../../../../etc/passwd». Для выявления следов эксплутации рекомендуется проверить наличие маски «..%2f» в логах http-сервера.
Il problema si è manifestato a partire dalla versione 8.0.0-beta1 ed è stato risolto nelle versioni Grafana 8.3.1, 8.2.7, 8.1.8 e 8.0.7, ma successivamente sono state scoperte altre due vulnerabilità simili (CVE-2021-43813, CVE-2021-43815) che si sono verificate a partire dalle versioni Grafana 5.0.0 e Grafana 8.0.0-beta3, consentendo a un utente autenticato di Grafana di accedere a file arbitrari nel sistema con estensioni «.md» e «.csv» (i nomi dei file solo in minuscolo o solo in maiuscolo), attraverso la manipolazione dei simboli «..» nei percorsi «/api/plugins/.*/markdown/.*» e «/api/ds/query». Per risolvere queste vulnerabilità sono stati rilasciati aggiornamenti di Grafana 8.3.2 e 7.5.12.
Fonte: opennet.ru
