Grafana Labs lanzó una actualización de seguridad de emergencia para parchear una vulnerabilidad crítica después de que los investigadores de seguridad publicaron un código de prueba de concepto para explotar el problema durante los últimos días. Vulnerabilidad con el identificador CVE-2021-43798 y puntuación de gravedad CVSS 7.5 sobre 10.

 El código se ha compartido en Twitter (otro, otro) y GitHub. 

CVE-2021-43798

La vulnerabilidad, identificada como CVE-2021-43798, afecta el producto principal de la empresa, el panel de Grafana, utilizado por empresas de todo el mundo para monitorear y agregar registros y otros parámetros de sus redes locales o remotas.

Descrito como un ataque de Path Transversal, la vulnerabilidad puede permitir que un atacante lea archivos fuera de la carpeta de la aplicación Grafana. Por ejemplo, un atacante puede abusar de las URL del complemento de Grafana para escapar de la carpeta de la aplicación Grafana y obtener acceso a los archivos almacenados en el servidor subyacente, como archivos que almacenan contraseñas y ajustes de configuración, detalles que el atacante podría utilizar como arma en ataques posteriores. 

<grafana_host_url>/public/plugins/<“plugin-id”>

$HOST/public/plugins/graph/../../../../../../../../etc/passwd 

Vulnerabilidad en el código:

• https://github.com/grafana/grafana/blob/main/pkg/api/plugins.go

Todos los servidores propios de Grafana que ejecutan versiones 8.x del software se consideran vulnerables. En sus notas del parche, Grafana Labs dijo que sus paneles de Grafana alojados en la nube no se vieron afectados por esta vulnerabilidad, que se benefició de protecciones de seguridad adicionales.

Ejemplos de explotación:

El problema se solucionó hoy con el lanzamiento de Grafana 8.3.1, 8.2.7, 8.1.8 y 8.0.7. Grafana dijo en su comunicado que estaba al tanto del problema desde la semana pasada, cuando inicialmente recibió un informe de error, pero finalmente se vio obligado a lanzar un parche de emergencia hoy después de que se publicara en línea un código de prueba de concepto para explotar el error. .

Varios investigadores de seguridad también afirmaron en línea hoy que el problema se estaba explotando activamente en ataques del mundo real, pero no estaba claro si la explotación estaba siendo realizada por cazarrecompensas de errores o por entidades maliciosas.

Actualmente hay entre 3.000 y 5.000 servidores Grafana expuestos en línea, casi todos utilizados exclusivamente para monitorear grandes redes corporativas. 

Plugins Grafana

• <grafana_host_url>/public/plugins/alertlist/
• <grafana_host_url>/public/plugins/annolist/
• <grafana_host_url>/public/plugins/barchart/
• <grafana_host_url>/public/plugins/bargauge/
• <grafana_host_url>/public/plugins/candlestick/
• <grafana_host_url>/public/plugins/cloudwatch/
• <grafana_host_url>/public/plugins/dashlist/
• <grafana_host_url>/public/plugins/elasticsearch/
• <grafana_host_url>/public/plugins/gauge/
• <grafana_host_url>/public/plugins/geomap/
• <grafana_host_url>/public/plugins/gettingstarted/
• <grafana_host_url>/public/plugins/grafana-azure-monitor-datasource/
• <grafana_host_url>/public/plugins/graph/
• <grafana_host_url>/public/plugins/heatmap/
• <grafana_host_url>/public/plugins/histogram/
• <grafana_host_url>/public/plugins/influxdb/
• <grafana_host_url>/public/plugins/jaeger/
• <grafana_host_url>/public/plugins/logs/
• <grafana_host_url>/public/plugins/loki/
• <grafana_host_url>/public/plugins/mssql/
• <grafana_host_url>/public/plugins/mysql/
• <grafana_host_url>/public/plugins/news/
• <grafana_host_url>/public/plugins/nodeGraph/
• <grafana_host_url>/public/plugins/opentsdb
• <grafana_host_url>/public/plugins/piechart/
• <grafana_host_url>/public/plugins/pluginlist/
• <grafana_host_url>/public/plugins/postgres/
• <grafana_host_url>/public/plugins/prometheus/
• <grafana_host_url>/public/plugins/stackdriver/
• <grafana_host_url>/public/plugins/stat/
• <grafana_host_url>/public/plugins/state-timeline/
• <grafana_host_url>/public/plugins/status-history/
• <grafana_host_url>/public/plugins/table/
• <grafana_host_url>/public/plugins/table-old/
• <grafana_host_url>/public/plugins/tempo/
• <grafana_host_url>/public/plugins/testdata/
• <grafana_host_url>/public/plugins/text/
• <grafana_host_url>/public/plugins/timeseries/
• <grafana_host_url>/public/plugins/welcome/
• <grafana_host_url>/public/plugins/zipkin/

Fuentes:

https://therecord.media/grafana-releases-security-patch-after-exploit-for-severe-bug-goes-public/