CVE-2021-39226

Kritik CISA KEV: Aktif İstismar

Teknik Veri (Otomatik)

CVSS Skoru: 9.8
EPSS: 99.9%
CWE: CWE-287
KEV Durumu: Evet

Yayım tarihi: 5 Ekim 2021 · CISA KEV son iyileştirme tarihi: 15 Eylül 2022

Etkilenen: grafana grafana

Grafana açık kaynaklı bir veri görselleştirme platformudur. Etkilenen sürümlerde, kimliği doğrulanmamış ve kimliği doğrulanmış kullanıcılar, /dashboard/snapshot/:key veya /api/snapshots/:key gibi literal yolları erişerek en düşük veritabanı anahtarına sahip anlık görüntüyü görüntüleyebilir. Anlık görüntü "public_mode" yapılandırma ayarları true (varsayılan olarak false) olarak ayarlanmışsa, kimliği doğrulanmamış kullanıcılar /api/snapshots-delete/:deleteKey literal yoluna erişerek en düşük veritabanı anahtarına sahip anlık görüntüyü silebilir. Anlık görüntü "public_mode" ayarlarına bakılmaksızın, kimliği doğrulanmış kullanıcılar /api/snapshots/:key veya /api/snapshots-delete/:deleteKey gibi literal yolları erişerek en düşük veritabanı anahtarına sahip anlık görüntüyü silebilir. Silme ve görüntüleme kombinasyonu, tüm anlık görüntü verilerini gezinmeye ve sonuç olarak tüm anlık görüntü verilerinin kaybına neden olur. Bu sorun 8.1.6 ve 7.5.11 sürümlerinde çözülmüştür. Bir sebepten dolayı yükseltme yapamıyorsanız, /api/snapshots/:key, /api/snapshots-delete/:deleteKey, /dashboard/snapshot/:key ve /api/snapshots/:key gibi literal yollara erişimi engellemek için ters bir proxy veya benzerini kullanabilirsiniz. Bunlar normal bir işleve sahip değildir ve yan etkiler olmadan devre dışı bırakılabilir.

Orijinal açıklama (İngilizce)

Grafana is an open source data visualization platform. In affected versions unauthenticated and authenticated users are able to view the snapshot with the lowest database key by accessing the literal paths: /dashboard/snapshot/:key, or /api/snapshots/:key. If the snapshot "public_mode" configuration setting is set to true (vs default of false), unauthenticated users are able to delete the snapshot with the lowest database key by accessing the literal path: /api/snapshots-delete/:deleteKey. Regardless of the snapshot "public_mode" setting, authenticated users are able to delete the snapshot with the lowest database key by accessing the literal paths: /api/snapshots/:key, or /api/snapshots-delete/:deleteKey. The combination of deletion and viewing enables a complete walk through all snapshot data while resulting in complete snapshot data loss. This issue has been resolved in versions 8.1.6 and 7.5.11. If for some reason you cannot upgrade you can use a reverse proxy or similar to block access to the literal paths: /api/snapshots/:key, /api/snapshots-delete/:deleteKey, /dashboard/snapshot/:key, and /api/snapshots/:key. They have no normal function and can be disabled without side effects.

Referanslar

NVD kaydı ↗CVE.org ↗CISA KEV kataloğu ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.