【小道消息】Grafana未授权任意文件读取

“据说又是个0day？”

已知影响Grafana 8.x系列，貌似是不影响7.x版。

官方也暂时没发布安全更新，所以目前最好的防护就是使用白名单限制访问源。

简单复现一下

环境很好搞，用vulfocus或者官方文档都有详细的教程：

https://grafana.com/docs/grafana/latest/installation/docker/

效果如图：

就这

虽然只是个任意文件读取，但危害还是相当严重的。

比如当你读的是以下这些目录时

/etc/grafana/grafana.ini/var/lib/grafana/grafana.db

暂时先这样，后续补充个全的，

那个东西，链接后台回复“grafana”获取，就不放正文了

本演示仅用于学习和研究，请在实验环境中运行，请勿用于其他任何非法用途，否则后果自负！

原文始发于微信公众号（hijackY）：【小道消息】Grafana未授权任意文件读取