Grafana任意⽂件读取漏洞复现（CVE-2021-43798）
⽬录
1、漏洞描述
Grafana是⼀个跨平台、开源的数据可视化⽹络应⽤程序平台。⽤户配置连接的数据源之后，Grafana可以在⽹络浏览器⾥显⽰数据图表和警告。2021年12⽉6⽇，国外安全研究⼈员披露Grafana中某些接⼝在提供静态⽂件时，攻击者通过构造恶意请求，可造成⽬录遍历，读取系统上的⽂件。
2、影响版本
Grafana 8.3.x <8.3.1
Grafana 8.2.x <8.2.7
Grafana 8.1.x <8.1.8
Grafana 8.0.x <8.0.7
3、环境搭建
使⽤vulhub搭建漏洞环境。
搭建完成后，访问⼀下
4、漏洞复现
alertmanager
grafana
loki
postgres
grafana-azure-monitor-datasource
mixed
prometheus
cloudwatch
graphite
mssql
tempo
dashboard
influxdb
mysql
testdata
elasticsearch
jaeger
opentsdb
zipkin
alertGroups
bargauge
debug
graph
live
piechart
status-history
timeseries
alertlist
candlestick
gauge
heatmap
logs
pluginlist
table
welcome
annolist
canvas
geomap
histogram
news
stat
table-old
xychart
barchart
dashlist
gettingstarted
icon
nodeGraph
state-timeline
text
5、安全建议
1、官⽅已于2021年12⽉8⽇发布新版本修复该漏洞，请尽快升级⾄安全版本。
2、设置Grafana仅对可信地址开放cve漏洞库
3、利⽤Nginx等代理或者负载均衡设备禁⽌含有..的请求以进⾏临时防御。

版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。