Grafana 任意文件读取漏洞通告
报告编号：B6-2021-120701
报告来源：360CERT
报告作者：360CERT
更新日期：2021-12-07
1 漏洞简述
2021年12月07日，360CERT监测发现网上存在Grafana 任意文件读取漏洞，该漏洞目前为0day漏洞，漏洞编号：暂无，漏洞等级：高危，漏洞评分：7.5。
目前该漏洞POC已公开
对此，360CERT建议广大用户做好资产自查以及预防工作，以免遭受黑客攻击。
2 风险等级
360CERT对该漏洞的评定结果如下
| 评定方式 | 等级 |
|---|---|
| 威胁等级 | 高危 |
| 影响面 | 广泛 |
| 攻击者价值 | 高 |
| 利用难度 | 低 |
| 360CERT评分 | 7.5 |
3 漏洞详情
Grafana 任意文件读取漏洞
CVE: 暂无
组件: Grafana
漏洞类型: 文件读取
影响: 获取敏感信息
简述: 未授权的攻击者利用该漏洞，能够获取服务器敏感文件。
4 影响版本
| 组件 | 影响版本 | 安全版本 |
|---|---|---|
| Grafana | 8.x | 暂无 |
5 修复建议
通用修补建议
目前暂无相关补丁，即使关注官方动态，获取最新版本。
https://github.com/grafana/grafana/releases
https://github.com/grafana/grafana/releases
6 时间线
2021-12-07 360CERT发布通告
7 参考链接
1、 https://twitter.com/hacker_/status/1467880514489044993
https://twitter.com/hacker_/status/1467880514489044993
