Ġiet identifikata vulnerabbiltà (CVE-2021-43798) fil-pjattaforma ta' viżwalizzazzjoni tad-dejta miftuħa Grafana, li tippermettilek taħrab lil hinn mid-direttorju bażi u tikseb aċċess għal fajls arbitrarji fis-sistema tal-fajls lokali tas-server, safejn id-drittijiet tal-aċċess. tal-utent li taħtu qed taħdem Grafana jippermetti. Il-problema hija kkawżata minn tħaddim ħażin tal-path handler "/public/plugins/ /", li ppermetta l-użu ta' karattri ".." biex jaċċessaw direttorji sottostanti.
Il-vulnerabbiltà tista’ tiġi sfruttata billi wieħed jaċċessa l-URL ta’ plugins tipiċi installati minn qabel, bħal “/public/plugins/graph/”, “/public/plugins/mysql/” u “/public/plugins/prometheus/” (madwar 40 plugins huma installati minn qabel b'kollox). Pereżempju, biex taċċessa l-fajl /etc/passwd, tista' tibgħat it-talba "/public/plugins/prometheus/../../../../../../../../etc /passwd" . Biex tidentifika traċċi ta 'sfruttament, huwa rakkomandat li tiċċekkja għall-preżenza tal-maskra "..%2f" fir-logs tas-server http.
Il-problema dehret li tibda mill-verżjoni 8.0.0-beta1 u ġiet iffissata fir-rilaxxi ta' Grafana 8.3.1, 8.2.7, 8.1.8 u 8.0.7, iżda mbagħad ġew identifikati żewġ vulnerabbiltajiet simili oħra (CVE-2021-43813, CVE-2021- 43815) li deher li jibda minn Grafana 5.0.0 u Grafana 8.0.0-beta3, u ppermetta lil utent awtentikat Grafana jaċċessa fajls arbitrarji fuq is-sistema bl-estensjonijiet ".md" u ".csv" (bil-fajl ismijiet biss fil-baxx jew b'ittri kbar biss), permezz ta' manipulazzjoni tal-karattri “..” fil-mogħdijiet “/api/plugins/.*/markdown/.*” u “/api/ds/query”. Biex jiġu eliminati dawn il-vulnerabbiltajiet, inħolqu aġġornamenti Grafana 8.3.2 u 7.5.12.
Sors: opennet.ru