Grafana Labs Grafana の認証回避の脆弱性（CVE-2021-39226）

何が起きた

データを見やすく表示するソフト Grafana で、ログインしていない人を含めて、スナップショット（画面の保存データ）を見たり消したりできてしまう弱点が見つかりました。決まったパスにアクセスすると、見ることと消すことをくり返して、すべてのスナップショットを読み、最後にはすべて消せてしまいます。ログインしていない人が消せるのは public_mode の設定が有効なときで、ログイン済みの人は設定にかかわらず消せます。NVD の評価では、ネットワーク経由で、ログインなしで悪用できます。実際の攻撃での悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Grafana を使っている組織が対象です。Grafana の案内では、影響を受けるのは 8.1.5 以前で、2.0.1 以降のすべての版が対象とされています。CVE の記録では、8.0.0 以上 8.1.6 未満と、7.5.11 未満が対象です。

何をすればいい

修正版は 8.1.6 と 7.5.11 です。8.1.6 以降、または 7.5.11 以降に更新されているか確認してください。すぐに更新できない場合は、リバースプロキシなどで /api/snapshots/:key、/api/snapshots-delete/:deleteKey、/dashboard/snapshot/:key へのアクセスを止める方法が案内されています。これらは通常の機能がないため、止めても困らないとされています。Grafana は、悪用されたかを調べるために、リバースプロキシなどのアクセスの記録で、これらのパスへの要求が成功（200）になっていないか探す方法も案内しています。あわせて公式の案内を確認してください。

やることチェックリスト

• Grafana を 8.1.6 または 7.5.11 以降に更新する
• 更新できなければ問題のパスへのアクセスを止める
• アクセスの記録で問題のパスへの成功を探す

用語メモ

スナップショット

ある時点のダッシュボードの画面とデータを保存して、ほかの人と共有するためのものです。

リバースプロキシ

サーバーの手前に置いて通信を中継し、通す通信と止める通信を選べる仕組みです。

パス

ウェブサイトの住所のうち、サイトの中の場所を表す部分です。