Grafana 路径遍历所有路径 CVE-2021-43798漏洞预警

最新推荐文章于 2024-06-13 00:56:12 发布
最新推荐文章于 2024-06-13 00:56:12 发布
阅读量590 收藏
点赞数 9
文章标签： grafana
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/2401_84434570/article/details/139134778
版权

简介​

​Grafana是一个跨平台、开源的数据可视化网络应用程序平台。用户配置连接的数据源之后，Grafana可以在网络浏览器里显示数据图表和警告。

漏洞危害等级

高危

CVE 编号​

CVE-2021-43798

FOFA查询

​app="Grafana"

​zoomeyes查询

​app:"grafana"

​影响范围

Grafana 8.3.x < 8.3.1

Grafana 8.2.x < 8.2.7

Grafana 8.1.x < 8.1.8

Grafana 8.0.x < 8.0.7

​漏洞情况

<grafana_host_url>/public/plugins/<“plugin-id”>

其中<“plugin-id”>是任何已安装插件的插件 ID。

Grafana 8.x API存在任意文件读取漏洞，未经授权的攻击者可利用该漏洞读取目标服务器任意文件，可导致服务器敏感信息泄漏。

修复建议

建议部署Grafana的用户关注Grafana官方相关升级公告，尽快采取安全措施。

1、官方已于2021年12月8日发布新版本修复该漏洞，请尽快升级至安全版本。

2、配置访问控制策略，仅对允许白名单地址访问，避免Grafana资产在互联网暴露。
 

参考链接

https://grafana.com/blog/2021/12/07/grafana-8.3.1-8.2.7-8.1.8-and-8.0.7-released-with-high-severity-security-fix/

亿林网络数据
关注
  • 9
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
CVE-2021-21975:Nmap脚本检查漏洞CVE-2021-21975
04-06
CVE-2021-21975 Nmap脚本检查漏洞CVE-2021-21975 漏洞参考： 博客 例子 nmap -p443 --script cve-2021-21975.nse --script-args vulns.showall IP
CVE-2021-21972：CVE-2021-21972漏洞利用
03-04
CVE-2021-21972 CVE-2021-21972工作于VMware-VCSA-all-6.7.0-8217866，VMware-VIM-all-6.7.0-8217866 :heavy_check_mark: VMware-VCSA-all-6.5.0-16613358 :heavy_check_mark:对于vCenter6.7 U2 + vCenter 6.7U2 +在...
【漏洞复现】Grafana任意文件读取（CVE-2021-43798）
m0_52923241的博客
03-11 1149
只要是安装了任何一个插件就可以出现任意文件读取，因为是plugins的问题。
CVE-2021-43798——Grafana 未授权任意文件读取_grafana未授权访问
2401_84519859的博客
05-16 306
最近遍览了各种网络安全类的文章，内容参差不齐，其中不伐有大佬倾力教学，也有各种不良机构浑水摸鱼，在收到几条私信，发现大家对一套完整的系统的网络安全从学习路线到学习资料，甚至是工具有着不小的需求。相比起繁琐的文字，还是生动的视频教程更加适合零基础的同学们学习，这里也是整理了一份与上述学习路线一一对应的网络安全视频教程。当然，当你入门之后，仅仅是视频教程已经不能满足你的需求了，你肯定需要学习各种工具的使用以及大量的实战项目，这里也分享一份。，毕竟实战是检验真理的唯一标准嘛~最后就是项目实战，这里带来的是。
Grafana任意文件读取漏洞（CVE-2021-43798）
不光要学，知识要能说出口
12-08 930
Grafana任意文件读取漏洞（CVE-2021-43798） goby exp声明代码poc集合 声明 本程序仅供于学习交流，请使用者遵守《中华人民共和国网络安全法》，勿将此脚本用于非授权的测试，脚本开发者不负任何连带法律责任。 代码 { "Name": "Grafana Plugins Arbitrary File Read CVE-2021-43798", "Level": "3", "Tags": [ "fileread" ],
grafana 目录遍历 （CVE-2021-43798）
博客地址 www.sec0nd.top
07-07 963
Grafana 是一个用于监控和可观察性的开源平台。Grafana 版本 8.0.0-beta1 到 8.3.0（补丁版本除外）容易受到目录遍历，允许访问本地文件。易受攻击的 URL 路径是：/public/plugins//，其中是任何已安装插件的插件 ID。Grafana Cloud 在任何时候都不会受到攻击。...
Grafana任意文件读取漏洞(CVE-2021-43798)复现
小小猪的博客
12-24 2173
Grafana任意文件读取漏洞(CVE-2021-43798)复现 漏洞描述： Grafana是一个跨平台、开源的数据可视化网络应用程序平台。用户配置连接的数据源之后，Grafana可以在网络浏览器里显示数据图表和警告。 漏洞影响范围： Grafana 8.0.0 - 8.3.0 环境搭建： 采用vulfocus靶场 地址 漏洞复现： ...
grafana 目录遍历（CVE-2021-43798）漏洞复现【VULFOCUS靶场-中级】--拿flag的历程
面向感觉挖洞，背向对象编程。欢迎关注VX公众号：EureKa安全团队
05-26 1万+
漏洞名称: grafana 目录遍历 （CVE-2021-43798） 漏洞描述: Grafana 是一个用于监控和可观察性的开源平台。Grafana 版本 8.0.0-beta1 到 8.3.0（补丁版本除外）容易受到目录遍历，允许访问本地文件。易受攻击的 URL 路径是：<grafana_host_url>/public/plugins//，其中是任何已安装插件的插件 ID。Grafana Cloud 在任何时候都不会受到攻击。建议用户升级到补丁版本 8.0.7、8.1.8、8.2.7...
CVE-2021-43798 Grafana 文件读取漏洞
2301_79724395的博客
04-16 781
影响版本 Grafana 8.0.0-beta1 to 8.3.0攻击者可以通过将包含特殊目录遍历字符序列(…/)的特制HTTP请求发送到受影响的设备来利用此漏洞。成功利用该漏洞的攻击者可以在目标设备上查看文件系统上的的任意文件。
【漏洞复现】Grafana任意文件读取漏洞(CVE-2021-43798)
热门推荐
qq_45244158的博客
12-09 1万+
Grafana 任意文件读取漏洞复现(CVE-2021-43798)
Grafana任意文件读取漏洞复现（CVE-2021-43798）
Bird&Bird
12-21 1629
目录1、漏洞描述2、影响版本3、环境搭建4、漏洞复现5、安全建议 1、漏洞描述 Grafana是一个跨平台、开源的数据可视化网络应用程序平台。用户配置连接的数据源之后，Grafana可以在网络浏览器里显示数据图表和警告。2021年12月6日，国外安全研究人员披露Grafana中某些接口在提供静态文件时，攻击者通过构造恶意请求，可造成目录遍历，读取系统上的文件。 2、影响版本 Grafana 8.3.x < 8.3.1 Grafana 8.2.x < 8.2.7 Grafana 8.1.x &lt
CVE-2021-43798——Grafana 未授权任意文件读取
LiBai'S BLOG
12-18 1万+
Grafana 未授权任意文件读取~
CVE-2021-25646-Apache Druid漏洞POC.py
02-26
CVE-2021-25646-Apache Druid漏洞POC.py
GLPI 路径遍历漏洞【CVE-2021-43778】
Armandhe的博客
11-29 1777
GLPI 路径遍历漏洞【CVE-2021-43778】
grafana 目录遍历（CVE-2021-43798）漏洞复现
mmdlm的博客
07-19 472
Grafana是一个用于监控和可观察性的开源平台。Grafana版本8.0.0-beta1到8.3.0（补丁版本除外）容易受到目录遍历，允许访问本地文件。，其中是任何已安装插件的插件ID。GrafanaCloud在任何时候都不会受到攻击。建议用户升级到补丁版本8.0.7、8.1.8、8.2.7或8.3.1。GitHub安全公告包含有关易受攻击的URL路径、缓解措施和披露时间表的更多信息。...
RabbitMQ实践——配置Prometheus和Grafana报表
方亮的专栏
06-13 685
在中我们已经安装成功RabbitMQ及其管理后台。在此基础上，我们将打通它和Prometheus、Grafana的通信，完成对RabbitMQ的可视化监控。
电脑温度检测软件， 夏天的时候可以用用，不用安装那么多的臃肿软件
最新发布
06-16
电脑温度检测软件， 夏天的时候可以用用，不用安装那么多的臃肿软件
cve-2021-43798
07-28
CVE-2021-43798是指Grafana中的未经授权的任意文件读取漏洞。攻击者可以利用这个漏洞读取系统上的敏感文件。\[1\] 为了利用这个漏洞，攻击者可以使用curl命令下载Grafana Enterprise 8.3.0版本的压缩包，并解压缩。\[2\]然后，可以使用提供的Python脚本exp.py来执行攻击。该脚本会尝试读取目标服务器上的/etc/passwd文件，以确认是否存在漏洞。\[3\] 需要注意的是，这个漏洞只会影响使用受影响版本的Grafana，并且需要攻击者能够与目标服务器建立连接才能利用漏洞。建议及时更新Grafana以修复这个漏洞，并确保服务器的安全配置和访问控制措施得到有效实施。 #### 引用[.reference_title] - *1* [CVE-2021-43798 Grafana 未经授权的任意文件读取漏洞](https://blog.csdn.net/Jietewang/article/details/121961312)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v91^control_2,239^v3^insert_chatgpt"}} ] [.reference_item] - *2* [漏洞分析｜CVE-2021-43798 - Grafana文件读取漏洞](https://blog.csdn.net/weixin_42508548/article/details/122061449)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v91^control_2,239^v3^insert_chatgpt"}} ] [.reference_item] - *3* [CVE-2021-43798——Grafana 未授权任意文件读取](https://blog.csdn.net/weixin_44309905/article/details/122008606)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v91^control_2,239^v3^insert_chatgpt"}} ] [.reference_item] [ .reference_list ]

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值