Каталог уязвимостей Сканер-ВС

Вернуться к списку

CVE-2021-39226

Оценки

EPSS

0.944Высокий94.3%
0%20%40%60%80%100%

Процентиль: 94.3%

CVSS

7.3Высокий3.x
0246810

Оценка CVSS: 7.3/10

Все оценки CVSS

CVSS 3.x
7.3

Вектор: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L

CVSS 2.0
6.8

Вектор: AV:N/AC:M/Au:N/C:P/I:P/A:P

Описание

Grafana — это платформа визуализации данных с открытым исходным кодом. В затронутых версиях неаутентифицированные и аутентифицированные пользователи могут просматривать снимок с самым низким ключом базы данных, обращаясь к буквальным путям: /dashboard/snapshot/:key или /api/snapshots/:key. Если параметр конфигурации снимка “public_mode” установлен в значение true (в отличие от значения по умолчанию false), неаутентифицированные пользователи могут удалить снимок с самым низким ключом базы данных, обратившись к буквальному пути: /api/snapshots-delete/:deleteKey. Независимо от настройки “public_mode” снимка, аутентифицированные пользователи могут удалить снимок с самым низким ключом базы данных, обратившись к буквальным путям: /api/snapshots/:key или /api/snapshots-delete/:deleteKey. Комбинация удаления и просмотра обеспечивает полный проход по всем данным снимка, что приводит к полной потере данных снимка. Эта проблема была решена в версиях 8.1.6 и 7.5.11. Если по какой-либо причине вы не можете обновиться, вы можете использовать обратный прокси-сервер или аналогичный, чтобы заблокировать доступ к буквальным путям: /api/snapshots/:key, /api/snapshots-delete/:deleteKey, /dashboard/snapshot/:key и /api/snapshots/:key. У них нет нормальной функции, и их можно отключить без побочных эффектов.

Сканер-ВС 7 — современное решение для управления уязвимостями

Использует эту базу данных для обнаружения уязвимостей. Высокая скорость поиска, кроссплатформенность, продвинутый аудит конфигурации и гибкая фильтрация. Подходит для организаций любого масштаба.
Подробнее о Сканер-ВС 7

Источники

debiannvdredhatubuntu

CWE

CWE-287CWE-639

Связанные уязвимости

BDU:2023-01019

Эксплойты

ID эксплойта: CVE-2021-39226

Источник: cisa

URL: https://www.cisa.gov/known-exploited-vulnerabilities-catalog

Уязвимое ПО (8)

Тип: Конфигурация

Продукт: grafana

Операционная система: rhel

Характеристика: 
{
  "fixed": "7.3.6-3.el8_4"
}

Источник: redhat

Тип: Конфигурация

Продукт: grafana

Операционная система: rhel

Характеристика: 
{
  "fixed": "6.2.2-7.el8_1"
}

Источник: redhat

Тип: Конфигурация

Продукт: grafana

Операционная система: rhel

Характеристика: 
{
  "fixed": "6.3.6-3.el8_2"
}

Источник: redhat

Тип: Конфигурация

Продукт: grafana

Операционная система: ubuntu trusty 14.04

Характеристика: 
{
  "unfixed": true
}

Источник: ubuntu

Тип: Конфигурация

Продукт: grafana

Операционная система: ubuntu xenial 16.04

Характеристика: 
{
  "unfixed": true
}

Источник: ubuntu

Тип: Конфигурация

Продукт: grafana

Операционная система: debian

Характеристика: 
{
  "unfixed": true
}

Источник: debian

Тип: Конфигурация

Поставщик: fedoraproject

Продукт: fedora

Операционная система: * * *

Характеристика: 
{
  "cpe_match": [
    {
      "cpe23uri": "cpe:2.3:o:fedoraproject:fedora:34:*:*:*:*:*:*:*",
      "vulnerable": true
    },
    {
      "cpe23uri": "cpe:2.3:o:fedoraproject:fedora:35:*:*:*:*:*:*:*",...

Источник: nvd

Тип: Конфигурация

Поставщик: grafana

Продукт: grafana

Операционная система: * * *

Характеристика: 
{
  "cpe_match": [
    {
      "cpe23uri": "cpe:2.3:a:grafana:grafana:*:*:*:*:*:*:*:*",
      "versionEndExcluding": "7.5.11",
      "vulnerable": true
    },
    {
      "cpe23uri": "cpe:2.3:a:grafan...

Источник: nvd