JSON डेटास्रोत प्लगइन में अनुचित पथ सैनिटाइजेशन (Improper Path Sanitization)

यह भेद्यता हमलावरों को Grafana सर्वर पर कॉन्फ़िगर किए गए JSON डेटा स्रोत एंडपॉइंट के बाहर स्थित फ़ाइलों तक पहुँचने की अनुमति देती है। इसका मतलब है कि हमलावर संवेदनशील डेटा, कॉन्फ़िगरेशन फ़ाइलों या अन्य महत्वपूर्ण संसाधनों को उजागर कर सकता है। यदि डेटा स्रोत एक बाहरी सर्वर है, तो हमलावर उस सर्वर पर भी हमला करने में सक्षम हो सकता है। इस भेद्यता का उपयोग सिस्टम को समझौता करने, डेटा चोरी करने या सेवा से इनकार करने के लिए किया जा सकता है। यह भेद्यता विशेष रूप से उन वातावरणों में गंभीर है जहां Grafana का उपयोग महत्वपूर्ण डेटा को प्रदर्शित करने या प्रबंधित करने के लिए किया जाता है।

Organizations using Grafana with the JSON Datasource Plugin are at risk, particularly those with dashboards configured by multiple users or those who have not implemented strict input validation measures. Shared hosting environments where multiple Grafana instances share the same server are also at increased risk.

• linux / server:

journalctl -u grafana | grep -i "path traversal"

• generic web:

curl -I 'http://your-grafana-instance/d/YOUR_DASHBOARD/your-query?path=../../../../etc/passwd' # Attempt to access sensitive file

1. 2024-02-14Disclosure

   disclosure

1. आरक्षित2023-09-22
2. प्रकाशित2024-02-14
3. संशोधित2025-03-24
4. EPSS अद्यतन2026-04-02

CVE-2023-5123 को कम करने का सबसे प्रभावी तरीका Grafana के JSON डेटा स्रोत प्लगइन को संस्करण 1.3.21 या उच्चतर में अपडेट करना है। यदि तत्काल अपडेट संभव नहीं है, तो एक अस्थायी उपाय के रूप में, आप वेब एप्लिकेशन फ़ायरवॉल (WAF) या प्रॉक्सी का उपयोग करके पथ पारगमन हमलों को रोकने के लिए नियम लागू कर सकते हैं। इसके अतिरिक्त, आप JSON डेटा स्रोत प्लगइन के लिए कॉन्फ़िगर किए गए सब-पाथ को सख्त कर सकते हैं ताकि यह सुनिश्चित किया जा सके कि केवल अपेक्षित पथों तक ही पहुँचा जा सकता है। अपडेट के बाद, यह सत्यापित करें कि भेद्यता ठीक हो गई है, यह सुनिश्चित करने के लिए कि कोई अनधिकृत फ़ाइलें एक्सेस नहीं की जा सकती हैं।