CVE-2021-39226
Umgehung der Snapshot-Authentifizierung in grafana
- Veröffentlicht
- 05.10.2021
- Aktualisiert
- 21.10.2025
- CNA zuweisen
- GitHub_M
- Beweise beobachtet
- 25.08.2022
Primäres CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HHoch · nächste 30 Tage
- Perzentil
- 100,0 %
- Modelldatum
- 17.10.2026
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
CISA bekanntermaßen ausgenutzt
Dieses CVE erscheint im CISA-Katalog „Known Exploited Vulnerabilities“.
Zusammenfassung
Grafana ist eine Open-Source-Plattform zur Datenvisualisierung. In betroffenen Versionen können nicht authentifizierte und authentifizierte Benutzer den Snapshot mit dem niedrigsten Datenbankschlüssel anzeigen, indem sie die literalen Pfade /dashboard/snapshot/:key oder /api/snapshots/:key aufrufen. Wenn die Konfigurationseinstellung „public_mode" des Snapshots auf true gesetzt ist (im Gegensatz zum Standardwert false), können nicht authentifizierte Benutzer den Snapshot mit dem niedrigsten Datenbankschlüssel löschen, indem sie den literalen Pfad /api/snapshots-delete/:deleteKey aufrufen. Unabhängig von der „public_mode"-Einstellung des Snapshots können authentifizierte Benutzer den Snapshot mit dem niedrigsten Datenbankschlüssel löschen, indem sie die literalen Pfade /api/snapshots/:key oder /api/snapshots-delete/:deleteKey aufrufen. Die Kombination aus Löschen und Anzeigen ermöglicht einen vollständigen Durchgang durch alle Snapshottedaten, was zu einem vollständigen Verlust der Snapshottedaten führt. Dieses Problem wurde in den Versionen 8.1.6 und 7.5.11 behoben. Wenn Sie aus irgendeinem Grund kein Upgrade durchführen können, können Sie einen Reverse-Proxy oder Ähnliches verwenden, um den Zugriff auf die literalen Pfade /api/snapshots/:key, /api/snapshots-delete/:deleteKey, /dashboard/snapshot/:key und /api/snapshots/:key zu blockieren. Diese haben keine normale Funktion und können ohne Nebenwirkungen deaktiviert werden.
Quellen
http/cves/2021/CVE-2021-39226.yaml
Nuclei TemplatesAngegebene Bedingungen
- network: http($.protocol_keys)
- verification: status,word($.matchers[*].type)
Verantwortungsvoller Umgang
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.