Η Grafana, η οποία παρέχει αναλυτικά στοιχεία ανοιχτού κώδικα και διαδραστικής απεικόνισης, δημοσίευσε μια επείγουσα ενημέρωση σήμερα για να διορθώσει μια zero-day ευπάθεια υψηλής σοβαρότητας, που επέτρεπε την απομακρυσμένη πρόσβαση σε τοπικά αρχεία.
Δείτε επίσης: Windows 10 zero-day που δίνει δικαιώματα διαχειριστή επιδιορθώνεται προσωρινά
Λεπτομέρειες σχετικά με το ζήτημα άρχισαν να δημοσιοποιούνται νωρίτερα αυτήν την εβδομάδα, προτού η Grafana Labs κυκλοφορήσει ενημερώσεις για τις επηρεαζόμενες εκδόσεις 8.0.0-beta1 έως 8.3.0.
Νωρίτερα σήμερα, οι ενημερώσεις Grafana 8.3.1, 8.2.7, 8.1.8 και 8.0.7 κυκλοφόρησαν για να επιδιορθώσουν μια ευπάθεια που θα μπορούσε να επιτρέψει σε έναν εισβολέα να πλοηγηθεί εκτός του φακέλου Grafana και να αποκτήσει απομακρυσμένη πρόσβαση σε περιορισμένες τοποθεσίες του διακομιστή.
Η Grafana Labs δημοσίευσε σήμερα μια ανάρτηση με την οποία εξηγεί ότι το πρόβλημα ήταν με τη διεύθυνση URL των εγκατεστημένων προσθηκών, που ήταν ευάλωτη σε επιθέσεις διέλευσης διαδρομής.
Δεδομένου ότι όλες οι εγκαταστάσεις της Grafana έχουν ένα σύνολο προσθηκών εγκατεστημένο από προεπιλογή, η ευάλωτη διαδρομή URL υπήρχε σε κάθε παρουσία της εφαρμογής.
Η Grafana Labs έλαβε μια αναφορά σχετικά με την ευπάθεια στα τέλη της περασμένης εβδομάδας, στις 3 Δεκεμβρίου και κατέληξε σε μια επιδιόρθωση την ίδια ημέρα.
Δεν χρειάστηκε πολύς χρόνος για τις τεχνικές λεπτομέρειες μαζί με το proof-of-concepts (PoC) της ευπάθειας να εκμεταλλευτούν το σφάλμα για να γίνουν διαθέσιμες στο Twitter και στο GitHub.
Δείτε ακόμα: Twitter bots παρακολουθούν κάθε tweet για να προωθήσουν crypto-scams
Δεδομένου ότι το σφάλμα που αναφέρθηκε ιδιωτικά είχε πλέον διαδοθεί, η Grafana Labs αναγκάστηκε να δημοσιεύσει την επιδιόρθωση:
2021-12-06: Δεύτερη αναφορά σχετικά με την ευπάθεια
2021-12-07: Λάβαμε πληροφορίες ότι η ευπάθεια έχει διαρρεύσει στο κοινό, μετατρέποντάς την σε zero-day
2021-12-07: Λήφθηκε απόφαση για αποδέσμευση το συντομότερο δυνατό
2021-12-07: Ιδιωτική έκδοση με μειωμένη περίοδο χάριτος 2 ωρών, όχι το συνηθισμένο χρονικό πλαίσιο 1 εβδομάδας
2021-12-07: Δημόσια κυκλοφορία
Τώρα ελάττωμα γνωστό ως CVE-2021-43798, έλαβε βαθμολογία σοβαρότητας 7,5 και εξακολουθεί να είναι εκμεταλλεύσιμο σε διακομιστές εσωτερικής εγκατάστασης που δεν έχουν ενημερωθεί.
Δείτε επίσης: Νέο Windows zero-day επιτρέπει δικαιώματα διαχειριστή
Σύμφωνα με τον προγραμματιστή των ενημερώσεων, το Grafana Cloud δεν έχουν επηρεαστεί.
Όπως έγινε ευρέων γνωστό, υπάρχουν χιλιάδες διακομιστές Grafana που εκτίθενται στο δημόσιο διαδίκτυο. Εάν δεν είναι δυνατή η έγκαιρη ενημέρωση ενός ευάλωτου διακομιστή, συνιστάται να καταστήσετε τον διακομιστή αυτό μη προσβάσιμο από τον δημόσιο ιστό.
