halencarjunior/grafana-cve-2021-43798Scanner basé sur Rust pour la vulnérabilité de traversée de chemin de Grafana (CVE-2021-43798). Vérifie les hôtes pour la faille et lit des fichiers arbitraires depuis des instances Grafana affectées.
Avertissement : Ceci est à des fins éducatives uniquement !
Toutes les installations entre v8.0.0-beta1 et v8.3.0 doivent être mises à niveau dès que possible.
Si vous ne pouvez pas mettre à niveau, l'utilisation d'un proxy inverse devant Grafana qui normalise le chemin de la requête atténuera la vulnérabilité. Par exemple, le paramètre normalize_path dans Envoy.
Grâce à notre approche de défense en profondeur, les instances de Grafana Cloud n'ont pas été affectées par la vulnérabilité.
Comme toujours, nous avons étroitement coordonné avec tous les fournisseurs de cloud agréés pour proposer Grafana Pro. Ils ont reçu une notification précoce sous embargo et ont confirmé que leurs offres sont sécurisées au moment de cette annonce. Par ordre alphabétique, cela s'applique à Amazon Managed Grafana et Azure Managed Grafana.
$ grafana-CVE-2021-43798 [FLAGS] [OPTIONS]
-c, --check Vérifie simplement la vulnérabilité
--help Affiche l'aide
-n, --nossl Utilise http:// au lieu de https:// sur l'URL
-V, --version Affiche les informations de version
-f, --file <file> Fichier à lire sur le serveur Grafana
-H, --host <IP ou domaine hôte> IP ou domaine de l'hôte et port, ex. 127.0.0.1:3000, à vérifier pour CVE
-h, --hostlist <liste d'hôtes> Fichier contenant une liste d'hôtes, un par ligne avec ip/domaine:port, ex. 127.0.0.1:3000
Vous devez d'abord installer le paquet Rust sur votre distribution GNU/Linux, MacOS ($$$$) ou Windows (beurk !)
https://www.rust-lang.org/tools/install
C'est très simple à compiler. Lancez simplement :
$ cargo build --release
Ensuite vous aurez la version prête dans votre <rép_téléchargé>/target/release/
Voilà tout le monde ! Merci beaucoup.