Grafana · Grafana · CVE-2021-43798
**Nome do software vulnerável e versões afetadas**
Versões do Grafana 8.0.0-beta1 a 8.3.0
**Descrição**
O Grafana está sujeito a uma vulnerabilidade de traversal de diretório, permitindo que invasores acessem arquivos locais. O caminho da URL vulnerável é: `<grafana host url>/public/plugins/<plugin-id>/`, onde <plugin-id> é o ID do plugin para qualquer plugin instalado. Vários relatórios indicam um ressurgimento de tentativas de exploração, com invasores visando sistemas internacionalmente, incluindo infraestruturas críticas. A vulnerabilidade permite o acesso não autorizado a arquivos locais, expondo potencialmente dados confidenciais. A vulnerabilidade pode ser explorada por meio de solicitações HTTP especificamente criadas.
**Recomendações**
Atualize o Grafana para a versão 8.0.7, 8.1.8, 8.2.7 ou 8.3.1 o mais rápido possível. Se a atualização não for viável, implemente um proxy reverso na frente do Grafana para normalizar o PATH da solicitação, como usar a configuração `normalize path` no Envoy.