CVE-2021-43798とは？Grafanaの脆弱性をわかりやすく解説

ひとことでGrafana で、サーバー内のファイルを外から読み取られる弱点です。
深刻度7.5 重要CVSS v3.1
まずやること8.3.1 など修正版のいずれか以降に更新する

基本情報（データから表示）

CVE番号	CVE-2021-43798
製品	Grafana Labs Grafana
深刻度（CVSS）	7.5 重要CVSS v3.1 NVD に登録された、他の機関（開発元など）による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N`
KEVへの追加日	2025-10-09
米国政府機関の対応期限	2025-10-30
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-22（パストラバーサル）

何が起きた

監視ツールの Grafana に、ディレクトリトラバーサルと呼ばれる弱点が見つかりました。インストールされているプラグインの URL に細工をすると、サーバー内のファイルを読み取れてしまいます。NVD に登録された他の機関の評価では、ネットワーク経由で、ログインなしで悪用できるとされています。実際の悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Grafana の 8.0.0-beta1 から 8.3.0 までを、自分のサーバーで動かしている組織が対象です。Grafana Labs によると、Grafana Cloud は影響を受けていません。

何をすればいい

Grafana Labs の公式の案内を確認し、修正版の 8.0.7、8.1.8、8.2.7、8.3.1 のいずれか以降に更新されているか確認してください。すぐに更新できない場合は、Grafana の前に、リクエストのパスを正規化（整えて正しい形に）するリバースプロキシを置くと、この弱点の危険を和らげられる（緩和できる）と案内されています。

やることチェックリスト

8.3.1 など修正版のいずれか以降に更新する
更新できなければパスを正規化する中継を導入する
8.0.0-beta1 から 8.3.0 の版か確認する

用語メモ

ディレクトリトラバーサル用語集で見る: ファイルの場所を示す文字列に細工をして、本来は見られないはずのフォルダーのファイルを読み出す攻撃です。
プラグイン用語集で見る: ソフトに機能を追加するための部品です。
リバースプロキシ: サーバーの手前に置き、届いた通信を中継するしくみです。通信の中身を整えたり、検査したりできます。

次に読む

同じ製品・メーカーの脆弱性Grafana（CVE-2021-39226）7.3 重要CVSS v3.1Grafana で、スナップショットを見られたり消されたりする弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Grafana Path Traversal Vulnerability

概要

Grafana contains a path traversal vulnerability that could allow access to local files.

推奨対応

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

この元データの出どころ: CISA KEV カタログで見る

Grafana のパストラバーサルの脆弱性（CVE-2021-43798）