CVEノート

最近の脆弱性 › CVE-2021-43798

Grafana Labs Grafana のパストラバーサルの脆弱性（CVE-2021-43798）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号CVE-2021-43798
製品Grafana Labs Grafana
深刻度（CVSS）7.5 重要CVSS v3.1
NVD に登録された、他の機関（開発元など）による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
KEVへの追加日2025-10-09
米国政府機関の対応期限2025-10-30
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-22

何が起きた

監視ツールの Grafana に、ディレクトリトラバーサルと呼ばれる弱点が見つかりました。インストールされているプラグインの URL に細工をすると、サーバー内のファイルを読み取れてしまいます。NVD の評価では、ネットワーク経由で、ログインなしで悪用できるとされています。実際の悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者がプラグインの URL に細工する → 2. ファイルの場所の確認をすり抜ける → 3. サーバー内のファイルが読み取られる1攻撃者がプラグインの URL に細工する2ファイルの場所の確認をすり抜ける3サーバー内のファイルが読み取られる攻撃の流れ: 1. 攻撃者がプラグインの URL に細工する → 2. ファイルの場所の確認をすり抜ける → 3. サーバー内のファイルが読み取られる1攻撃者がプラグインの URL に細工する2ファイルの場所の確認をすり抜ける3サーバー内のファイルが読み取られる

誰が影響を受ける

Grafana の 8.0.0-beta1 から 8.3.0 までを、自分のサーバーで動かしている組織が対象です。Grafana Labs によると、Grafana Cloud は影響を受けていません。

何をすればいい

Grafana Labs の公式の案内を確認し、修正版の 8.0.7、8.1.8、8.2.7、8.3.1 のいずれか以降に更新されているか確認してください。すぐに更新できない場合は、Grafana の前に、リクエストのパスを正規化（整えて正しい形に）するリバースプロキシを置くと、この弱点の危険を和らげられる（緩和できる）と案内されています。

やることチェックリスト

用語メモ

ディレクトリトラバーサル
ファイルの場所を示す文字列に細工をして、本来は見られないはずのフォルダーのファイルを読み出す攻撃です。
プラグイン
ソフトに機能を追加するための部品です。
リバースプロキシ
サーバーの手前に置き、届いた通信を中継するしくみです。通信の中身を整えたり、検査したりできます。

元データ（英語・CISA KEV より）

Grafana Path Traversal Vulnerability

概要

Grafana contains a path traversal vulnerability that could allow access to local files.

推奨対応

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

公式情報