Опенсорсное решение для аналитики и интерактивной визуализации, Grafana, получило экстренное обновление для устранения серьезной 0-day уязвимости, которая обеспечивала удаленный доступ к локальным файлам.
Разработчикам Grafana Labs пришлось поспешить с патчем, так как код эксплоита для этой проблемы (CVE-2021-43798) был опубликован в открытом доступе.
Уязвимость описывается как обход каталога (path traversal) и позволяет злоумышленнику читать файлы за пределами папки приложения Grafana. То есть хакер мог использовать URL-адреса подключаемых модулей Grafana, чтобы выйти из папки приложения и получить доступ к другим файлам, включая файлы, в которых хранятся пароли и параметры конфигурации, например, /etc/passwd/.
Сообщается, что все локальные серверы Grafana, на которых установлены версии 8.x, считаются уязвимыми. Баг был исправлен с релизом Grafana 8.3.1, 8.2.7, 8.1.8 и 8.0.7. При этом разработчики подчеркивают, что облачные информационные панели Grafana не подвержены от этой проблеме.
По данным Bleeping Computer, Grafana Labs получила отчет об этой уязвимости в конце прошлой недели, 3 декабря. Разработчики запланировали выпуск патча для частных клиентов, а затем и публичное исправление, которое должно было выйти 14 декабря. Однако затем разработчики получили второй отчет, согласно которому эксплоит начал открыто распространяться в Twitter и на GitHub.
This is awesome. It's been a fun few days with the Grafana 0day 🙂 Awesome find by j0v! #BugBounty https://t.co/UoUCkRjWDn pic.twitter.com/4zi6vi7LEP
— Corben Leo (@hacker_) December 6, 2021
