- Aktif istismar
- CWE-22
CVE-2021-43798
Grafana'da dizin geçişi (path traversal) açığı, yerel dosyalara erişime izin veriyor
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 1786 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
Grafana, izleme ve gözlemlenebilirlik için kullanılan açık kaynaklı bir platformdur. 8.0.0-beta1 ile 8.3.0 arasındaki Grafana sürümleri (yamalı sürümler hariç) dizin geçişine (directory traversal) karşı savunmasızdır ve bu durum yerel dosyalara erişime izin verir. Savunmasız URL yolu <grafana_host_url>/public/plugins// biçimindedir; burada yer alan ifade, kurulu herhangi bir eklentinin eklenti kimliğidir. Grafana Cloud hiçbir zaman savunmasız olmamıştır. Kullanıcıların 8.0.7, 8.1.8, 8.2.7 veya 8.3.1 yamalı sürümlerine yükseltme yapmaları önerilir. GitHub Güvenlik Danışmanlığı; savunmasız URL yolları, azaltma önlemleri ve açıklama takvimi hakkında daha fazla bilgi içermektedir.
Kaynaktaki açıklama (İngilizce)
Grafana is an open-source platform for monitoring and observability. Grafana versions 8.0.0-beta1 through 8.3.0 (except for patched versions) iss vulnerable to directory traversal, allowing access to local files. The vulnerable URL path is: <grafana_host_url>/public/plugins//, where is the plugin ID for any installed plugin. At no time has Grafana Cloud been vulnerable. Users are advised to upgrade to patched versions 8.0.7, 8.1.8, 8.2.7, or 8.3.1. The GitHub Security Advisory contains more information about vulnerable URL paths, mitigation, and the disclosure timeline.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| grafana | Sürüm belirtilmemiş | – |
Kaynaklar11 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…rafana/security/advisories/GHSA-8pjx-jj86-j47p Diğer
- github.com/…ommit/c798c0e958d15d9cc7f27c72113d572fa58545ce Diğer
- packetstormsecurity.com/files/165198/Grafana-Arbitrary-File-Reading.html Diğer
- grafana.com/…day-cve-2021-43798-grafana-directory-traversal Diğer
- packetstormsecurity.com/…0-Directory-Traversal-Arbitrary-File-Read.html Diğer
- openwall.com/lists/oss-security/2021/12/09/2 Diğer
- openwall.com/lists/oss-security/2021/12/10/4 Diğer
- security.netapp.com/advisory/ntap-20211229-0004 Diğer
- grafana.com/…8.0.7-released-with-high-severity-security-fix Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.