ਗ੍ਰਾਫਾਨਾ ਵਿੱਚ ਕਮਜ਼ੋਰੀਆਂ ਜੋ ਸਿਸਟਮ ਉੱਤੇ ਫਾਈਲਾਂ ਤੱਕ ਪਹੁੰਚ ਦੀ ਆਗਿਆ ਦਿੰਦੀਆਂ ਹਨ

ਓਪਨ ਡੇਟਾ ਵਿਜ਼ੂਅਲਾਈਜ਼ੇਸ਼ਨ ਪਲੇਟਫਾਰਮ ਗ੍ਰਾਫਾਨਾ ਵਿੱਚ ਇੱਕ ਕਮਜ਼ੋਰੀ (CVE-2021-43798) ਦੀ ਪਛਾਣ ਕੀਤੀ ਗਈ ਹੈ, ਜੋ ਤੁਹਾਨੂੰ ਬੇਸ ਡਾਇਰੈਕਟਰੀ ਤੋਂ ਪਰੇ ਬਚਣ ਅਤੇ ਸਰਵਰ ਦੇ ਸਥਾਨਕ ਫਾਈਲ ਸਿਸਟਮ ਵਿੱਚ ਆਰਬਿਟਰੇਰੀ ਫਾਈਲਾਂ ਤੱਕ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦੀ ਹੈ, ਜਿੱਥੋਂ ਤੱਕ ਪਹੁੰਚ ਅਧਿਕਾਰ ਹਨ। ਉਪਭੋਗਤਾ ਦੀ ਜਿਸ ਦੇ ਅਧੀਨ Grafana ਚੱਲ ਰਿਹਾ ਹੈ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ। ਸਮੱਸਿਆ ਪਾਥ ਹੈਂਡਲਰ ਦੇ ਗਲਤ ਸੰਚਾਲਨ ਕਾਰਨ ਹੋਈ ਹੈ “/public/plugins/ /", ਜਿਸ ਨੇ ਅੰਡਰਲਾਈੰਗ ਡਾਇਰੈਕਟਰੀਆਂ ਤੱਕ ਪਹੁੰਚਣ ਲਈ ".." ਅੱਖਰਾਂ ਦੀ ਵਰਤੋਂ ਦੀ ਇਜਾਜ਼ਤ ਦਿੱਤੀ।

ਆਮ ਪੂਰਵ-ਸਥਾਪਤ ਪਲੱਗਇਨਾਂ ਦੇ URL ਤੱਕ ਪਹੁੰਚ ਕਰਕੇ ਕਮਜ਼ੋਰੀ ਦਾ ਸ਼ੋਸ਼ਣ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ, ਜਿਵੇਂ ਕਿ “/public/plugins/graph/”, “/public/plugins/mysql/” ਅਤੇ “/public/plugins/prometheus/” (ਲਗਭਗ 40 ਪਲੱਗਇਨ ਕੁੱਲ ਪੂਰਵ-ਇੰਸਟਾਲ ਹਨ)। ਉਦਾਹਰਨ ਲਈ, /etc/passwd ਫਾਈਲ ਤੱਕ ਪਹੁੰਚ ਕਰਨ ਲਈ, ਤੁਸੀਂ "/public/plugins/prometheus/../../../../../../../etc ਬੇਨਤੀ ਭੇਜ ਸਕਦੇ ਹੋ /passwd"। ਸ਼ੋਸ਼ਣ ਦੇ ਨਿਸ਼ਾਨਾਂ ਦੀ ਪਛਾਣ ਕਰਨ ਲਈ, http ਸਰਵਰ ਲੌਗਸ ਵਿੱਚ "..%2f" ਮਾਸਕ ਦੀ ਮੌਜੂਦਗੀ ਦੀ ਜਾਂਚ ਕਰਨ ਦੀ ਸਿਫਾਰਸ਼ ਕੀਤੀ ਜਾਂਦੀ ਹੈ।

ਸਮੱਸਿਆ 8.0.0-beta1 ਦੇ ਸੰਸਕਰਣ ਤੋਂ ਸ਼ੁਰੂ ਹੋਈ ਅਤੇ ਗ੍ਰਾਫਾਨਾ 8.3.1, 8.2.7, 8.1.8 ਅਤੇ 8.0.7 ਦੇ ਰੀਲੀਜ਼ਾਂ ਵਿੱਚ ਹੱਲ ਕੀਤੀ ਗਈ ਸੀ, ਪਰ ਫਿਰ ਦੋ ਹੋਰ ਸਮਾਨ ਕਮਜ਼ੋਰੀਆਂ ਦੀ ਪਛਾਣ ਕੀਤੀ ਗਈ ਸੀ (CVE-2021-43813, CVE-2021- 43815) ਜੋ ਕਿ Grafana 5.0.0 ਅਤੇ Grafana 8.0.0-beta3 ਤੋਂ ਸ਼ੁਰੂ ਹੋ ਕੇ ਪ੍ਰਗਟ ਹੋਇਆ, ਅਤੇ ਇੱਕ ਪ੍ਰਮਾਣਿਤ ਗ੍ਰਾਫਾਨਾ ਉਪਭੋਗਤਾ ਨੂੰ ".md" ਅਤੇ ".csv" (ਫਾਇਲ ਦੇ ਨਾਲ) ਐਕਸਟੈਂਸ਼ਨਾਂ ਨਾਲ ਸਿਸਟਮ 'ਤੇ ਆਰਬਿਟਰੇਰੀ ਫਾਈਲਾਂ ਤੱਕ ਪਹੁੰਚ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੱਤੀ। ਨਾਂ ਸਿਰਫ਼ ਹੇਠਲੇ ਜਾਂ ਸਿਰਫ਼ ਵੱਡੇ ਅੱਖਰਾਂ ਵਿੱਚ), ਮਾਰਗਾਂ ਵਿੱਚ “..” ਅੱਖਰਾਂ ਦੀ ਹੇਰਾਫੇਰੀ ਰਾਹੀਂ “/api/plugins/.*/markdown/.*” ਅਤੇ “/api/ds/query”। ਇਹਨਾਂ ਕਮਜ਼ੋਰੀਆਂ ਨੂੰ ਖਤਮ ਕਰਨ ਲਈ, Grafana 8.3.2 ਅਤੇ 7.5.12 ਅੱਪਡੇਟ ਬਣਾਏ ਗਏ ਸਨ।

ਸਰੋਤ: opennet.ru