halencarjunior/grafana-cve-2021-43798Scanner baseado em Rust para a vulnerabilidade de path traversal no Grafana (CVE-2021-43798). Verifica hosts em busca da falha e lê arquivos arbitrários de instâncias do Grafana afetadas.
Aviso: Isto é apenas para fins educacionais!
Todas as instalações entre v8.0.0-beta1 e v8.3.0 devem ser atualizadas o mais rápido possível.
Se não puder atualizar, executar um proxy reverso na frente do Grafana que normalize o PATH da solicitação mitigará a vulnerabilidade. Por exemplo, a configuração normalize_path no envoy.
Graças à nossa abordagem de defesa em profundidade, as instâncias do Grafana Cloud não foram afetadas pela vulnerabilidade.
Como sempre, coordenamos de perto com todos os provedores de nuvem licenciados para oferecer o Grafana Pro. Eles receberam notificação antecipada sob embargo e confirmaram que suas ofertas estão seguras no momento deste anúncio. Em ordem alfabética, isso é aplicável ao Amazon Managed Grafana e ao Azure Managed Grafana.
$ grafana-CVE-2021-43798 [FLAGS] [OPTIONS]
-c, --check Apenas verificar a vulnerabilidade
--help Exibe informações de ajuda
-n, --nossl Usar http:// em vez de https:// na URL
-V, --version Exibe informações da versão
-f, --file <file> Arquivo a ser lido no servidor grafana
-H, --host <IP ou domínio do host> IP ou Domínio do host e porta, ex.: 127.0.0.1:3000 a ser verificado para o CVE
-h, --hostlist <lista de hosts> Arquivo contendo uma lista de hosts, 1 por linha, com ip/domínio:porta, ex.: 127.0.0.1:3000
Primeiro você deve instalar o pacote Rust na sua distribuição GNU/Linux, MacOS ($$$$) ou Windows (blergh!)
https://www.rust-lang.org/tools/install
É muito fácil compilar. Basta executar :
$ cargo build --release
Então você terá a versão pronta em <repo_downloaded_dir>/target/release/
É isso, pessoal! Muito obrigado.