У відкритій платформі візуалізації даних Grafana виявлено вразливість (CVE-2021-43798), що дозволяє вийти за межі базового каталогу та отримати доступ до довільних файлів у локальній файловій системі сервера, наскільки це дозволяють права доступу користувача, під яким виконується Grafana. Проблема викликана некоректною роботою оброблювача шляху «/public/plugins/ /», в якому допускалося використання символів «..» для доступу до каталогів нижче.
Вразливість може бути експлуатована через звернення до URL типових попередньо встановлених плагінів, таких як /public/plugins/graph/, /public/plugins/mysql/ і /public/plugins/prometheus/ (всього встановлено близько 40 плагінів) . Наприклад, для доступу до файлу /etc/passwd можна було надіслати запит "/public/plugins/prometheus/../../../../../../../../etc/passwd" . Для виявлення слідів експлуатації рекомендується перевірити наявність маски «..%2f» у логах http-сервера.
Проблема виявлялася починаючи з версії 8.0.0-beta1 і усунена у випусках Grafana 8.3.1, 8.2.7, 8.1.8 та 8.0.7, але слідом були виявлені ще дві схожі вразливості (CVE-2021-43813, CVE-2021- 43815) які виявлялися починаючи з версій Grafana 5.0.0 та Grafana 8.0.0-beta3, і дозволяли автентифікованому користувачеві Grafana отримати доступ до довільних файлів у системі, що мають розширення ".md" і ".csv" (з іменами файлів тільки в нижньому або тільки у верхньому регістрі), через маніпуляцію із символами «..» у шляхах «/api/plugins/.*/markdown/.*» та «/api/ds/query». Для усунення даних уразливостей сформовано оновлення Grafana 8.3.2 та 7.5.12.
Джерело: opennet.ru