Grafana brengt patch uit voor zeroday die directory traversal misbruikte

Visualisatiedienst Grafana heeft een patch uitgebracht voor een zeroday waarmee aanvallers toegang konden krijgen tot lokale bestanden. Er gaan proofs-of-concept rond op onder andere GitHub.

De kwetsbaarheid zit alleen in nieuwere versies van Grafana. Alle versies van de software tussen v8.0.0-beta1 tot en met v8.3.0 zijn kwetsbaar, maar oudere versies niet. Grafana heeft meerdere patches uitgebracht. De kwetsbaarheid wordt gefixt in versies 8.3.1, 8.2.7, 8.1.8 en 8.0.7.

Het gaat om een bug in de Grafana-software en niet in Grafana Cloud, zeggen de ontwikkelaars. De kwetsbaarheid staat bekend als CVE-2021-43798. Het gaat om een directory traversal-bug die specifiek in de locatie zit waar Grafana standaard plugins installeert. Vanuit /public/plugins/ zou het mogelijk zijn om in andere directories op een systeem te komen. Daar zouden ook folders in kunnen zitten zoals /etc/passwd/. De kwetsbaarheid krijgt dan ook een score van 7,5 en een High-classificering.

Grafana schrijft dat het op 3 december van het lek op de hoogte werd gebracht door een beveiligingsonderzoeker. Op 7 december had het bedrijf een patch uitgebracht, nadat bleek dat de kwetsbaarheid online verschenen was. Onder andere op GitHub staan niet alleen details over de bug, maar ook proofs-of-concept die aantonen hoe deze kan worden uitgebuit.

Reacties (7)

[supermidget]

Ik blijf de term 0-day verwarrend vinden. Als ik het opzoek lijkt het te betekenen, "een kwetsbaarheid die nog niet bekend is bij de leverancier", maar aangezien grafana deze vulnerability oplost en er dus mee bekend is, is het toch geen 0 day? Het is ook niet opgelost binnen 0 dagen. Dus dan lijkt het duidelijker dit gewoon een 'kwetsbaarheid' te noemen. Misschien kan iemand het uitleggen...

[DDX]

Volgens mij was het een zeroday omdat het een kwetsbaarheid was die 'actief' misbruik werd ?

[Lucas]

Het is een 0-day omdat er een exploit is gepubliceerd voordat Grafana de mogelijkheid had om het lek te patchen

[Oon]

Maar dan is dus iedere exploit een 0-day tot die gepatcht is, ook als die bij wijze van spreken al 30 dagen bestaat?

[LanTao]

Het is een term uit de industrie die handelt in exploits. Zodra de exploits algemeen bekend worden, worden ze in het algemeen snel verholpen, maar de term wordt vaak gerekt tot dat punt. "Kwetsbaarheid, al dan niet algemeen bekend, waar (nog) geen patch tegen bestaat" is misschien een betere definitie van het begrip 0-day dan de engere definitie van een louter bij een selecte groep aanvallers bekende kwetsbaarheid.

[densoN]

Hier wordt het m.i. goed beschreven:
https://www.techtarget.co...lity-and-zero-day-exploit

[marapuru]

Zelf gebruik ik het ezelsbruggetje dat de exploit zo vers is, dat deze nog maar nul dagen (versheid) in de 'schappen' (bekend is) ligt.