He whakaraeraetanga (CVE-2021-43798) kua kitea i roto i te papaaata whakaata raraunga tuwhera Grafana, e taea ai e koe te mawhiti atu i tua atu o te raarangi turanga me te uru atu ki nga konae koretake i roto i te punaha konae a rohe o te tūmau, tae noa ki nga mana uru. o te kaiwhakamahi kei raro nei a Grafana ka taea. Na te he o te mahi a te kaihautu ara “/public/plugins/ /", i whakaaetia te whakamahi o ".." pūāhua ki te uru whaiaronga.
Ko te whakaraeraetanga ka taea te whakamahi ma te uru atu ki te URL o nga monomai i mua i te whakauru, penei i te "/public/plugins/graph/", "/public/plugins/mysql/" me "/public/plugins/prometheus/" (mo te 40 kua whakauruhia nga mono i mua i te katoa). Hei tauira, ki te uru atu ki te konae /etc/passwd, ka taea e koe te tuku tono "/public/plugins/prometheus/../../../../../../../../etc /passwd" . Hei tautuhi i nga tohu o te mahi, e taunaki ana kia tirohia kei te noho mai te "..%2f" kanohi i roto i nga raarangi tūmau http.
I puta mai te raru mai i te putanga 8.0.0-beta1 ka whakatikahia i roto i nga whakaputanga o Grafana 8.3.1, 8.2.7, 8.1.8 me 8.0.7, engari katahi ka kitea etahi atu whakaraeraetanga rite (CVE-2021-43813, CVE-2021- 43815) i puta mai i te Grafana 5.0.0 me te Grafana 8.0.0-beta3, ka taea e tetahi kaiwhakamahi Grafana motuhēhē te uru ki nga konae i runga i te punaha me nga toronga ".md" me ".csv" (me te konae. ko nga ingoa kei raro noa iho, kei te pumatua anake ranei), ma te raweke i nga tohu “..” i nga ara “/api/plugins/.*/markdown/.*” me “/api/ds/query”. Hei whakakore i enei whakaraeraetanga, i hangaia nga whakahou a Grafana 8.3.2 me 7.5.12.
Source: opennet.ru