സിസ്റ്റത്തിലെ ഫയലുകളിലേക്ക് ആക്‌സസ് അനുവദിക്കുന്ന ഗ്രാഫാനയിലെ കേടുപാടുകൾ

ഓപ്പൺ ഡാറ്റാ വിഷ്വലൈസേഷൻ പ്ലാറ്റ്‌ഫോമായ ഗ്രാഫാനയിൽ ഒരു കേടുപാടുകൾ (CVE-2021-43798) തിരിച്ചറിഞ്ഞിട്ടുണ്ട്, ഇത് ബേസ് ഡയറക്‌ടറിക്ക് അപ്പുറത്തേക്ക് രക്ഷപ്പെടാനും സെർവറിന്റെ പ്രാദേശിക ഫയൽ സിസ്റ്റത്തിലെ അനിയന്ത്രിതമായ ഫയലുകളിലേക്ക് ആക്‌സസ് അവകാശങ്ങൾ വരെ ആക്‌സസ് നേടാനും നിങ്ങളെ അനുവദിക്കുന്നു. ഗ്രാഫാന പ്രവർത്തിക്കുന്ന ഉപയോക്താവിനെ അനുവദിക്കുന്നു. പാത്ത് ഹാൻഡ്‌ലറിന്റെ തെറ്റായ പ്രവർത്തനമാണ് പ്രശ്‌നത്തിന് കാരണം “/public/plugins/ //, ഇത് ".." പ്രതീകങ്ങളുടെ ഉപയോഗത്തിന് അടിസ്ഥാന ഡയറക്‌ടറികൾ ആക്‌സസ് ചെയ്യാൻ അനുവദിച്ചു.

"/public/plugins/graph/", "/public/plugins/mysql/", "/public/plugins/prometheus/" (ഏകദേശം 40) പോലെ, മുൻകൂട്ടി ഇൻസ്റ്റാൾ ചെയ്തിട്ടുള്ള സാധാരണ പ്ലഗിന്നുകളുടെ URL ആക്‌സസ് ചെയ്യുന്നതിലൂടെ ഈ അപകടസാധ്യത പ്രയോജനപ്പെടുത്താം. പ്ലഗിനുകൾ മൊത്തത്തിൽ മുൻകൂട്ടി ഇൻസ്റ്റാൾ ചെയ്തിട്ടുണ്ട്) . ഉദാഹരണത്തിന്, /etc/passwd ഫയൽ ആക്സസ് ചെയ്യുന്നതിന്, നിങ്ങൾക്ക് "/public/plugins/prometheus/../../../../../../../../etc എന്ന അഭ്യർത്ഥന അയയ്‌ക്കാം. /passwd" . ചൂഷണത്തിന്റെ സൂചനകൾ തിരിച്ചറിയാൻ, http സെർവർ ലോഗുകളിൽ "..%2f" മാസ്കിന്റെ സാന്നിധ്യം പരിശോധിക്കാൻ ശുപാർശ ചെയ്യുന്നു.

8.0.0-beta1 പതിപ്പിൽ നിന്ന് ആരംഭിക്കുന്ന പ്രശ്നം ഗ്രാഫാന 8.3.1, 8.2.7, 8.1.8, 8.0.7 എന്നിവയുടെ റിലീസുകളിൽ പരിഹരിച്ചു, എന്നാൽ സമാനമായ രണ്ട് കേടുപാടുകൾ കൂടി തിരിച്ചറിഞ്ഞു (CVE-2021-43813, CVE-2021- 43815), ഇത് ഗ്രാഫാന 5.0.0, ഗ്രാഫാന 8.0.0-ബീറ്റ3 എന്നിവയിൽ നിന്ന് ആരംഭിക്കുന്നു, കൂടാതെ ".md", ".csv" (ഫയലിനൊപ്പം) വിപുലീകരണങ്ങളുള്ള സിസ്റ്റത്തിലെ അനിയന്ത്രിതമായ ഫയലുകൾ ആക്‌സസ് ചെയ്യാൻ ഒരു ആധികാരിക ഗ്രാഫാന ഉപയോക്താവിനെ അനുവദിച്ചു. "/api/plugins/.*/markdown/.*", "/api/ds/query" എന്നീ പാതകളിലെ ".." പ്രതീകങ്ങൾ കൈകാര്യം ചെയ്യുന്നതിലൂടെ പേരുകൾ ചെറിയതോ വലിയക്ഷരത്തിൽ മാത്രം. ഈ കേടുപാടുകൾ ഇല്ലാതാക്കാൻ, ഗ്രാഫാന 8.3.2, 7.5.12 അപ്ഡേറ്റുകൾ സൃഷ്ടിച്ചു.

അവലംബം: opennet.ru