Kerentanan (CVE-2021-43798) parantos diidentifikasi dina platform visualisasi data kabuka Grafana, anu ngamungkinkeun anjeun kabur saluareun diréktori dasar sareng kéngingkeun aksés kana file sawenang dina sistem file lokal server, dugi ka hak aksés. tina pamaké ngabawah Grafana ngajalankeun ngamungkinkeun. Masalahna disababkeun ku operasi anu salah tina panangan jalur "/public/plugins/ /", nu ngidinan pamakéan ".." karakter ngakses directories kaayaan.
Kerentanan tiasa dimanfaatkeun ku ngaksés URL plugins anu tos dipasang sateuacana, sapertos "/public/plugins/graph/", "/public/plugins/mysql/" sareng "/public/plugins/prometheus/" (kira-kira 40 plugins tos dipasang dina total). Contona, pikeun ngakses file /etc/passwd, Anjeun bisa ngirim pamundut "/public/plugins/prometheus/../../../../../../../../etc /passwd". Pikeun ngaidentipikasi jejak eksploitasi, disarankeun pikeun pariksa ayana topeng "..%2f" dina log server http.
Masalahna muncul mimitian ti versi 8.0.0-beta1 sareng dibenerkeun dina sékrési Grafana 8.3.1, 8.2.7, 8.1.8 sareng 8.0.7, tapi teras dua kerentanan anu sami diidentifikasi (CVE-2021-43813, CVE-2021- 43815) anu muncul mimitian ti Grafana 5.0.0 sareng Grafana 8.0.0-beta3, sareng ngamungkinkeun pangguna Grafana anu dioténtikasi pikeun ngaksés file sawenang-wenang dina sistem kalayan ekstensi ".md" sareng ".csv" (sareng file. ngaran ngan di handap atawa ngan dina hurup gede), ngaliwatan manipulasi ".." karakter dina jalur "/api/plugins/.*/markdown/.*" jeung "/api/ds/query". Pikeun ngaleungitkeun kerentanan ieu, Grafana 8.3.2 sareng 7.5.12 parantos didamel.
sumber: opennet.ru