🇰🇷 한글 설명
Grafana의 Infinity 데이터 소스 플러그인에서 특정 URL만 허용하도록 설정된 제한을 우회할 수 있는 취약점이 발견되었습니다. 공격자는 특수하게 조작된 URL을 사용하여 설정된 보안 제한을 무력화할 수 있습니다. 이 문제는 버전 3.4.1에서 수정되었습니다.
💡 쉬운 설명
데이터를 불러오는 플러그인에서 허용된 사이트만 접속할 수 있게 만든 규칙을 속여서 다른 사이트에 접속할 수 있는 문제입니다. 이를 통해 보안 규칙을 피해 원치 않는 데이터에 접근할 위험이 있습니다.
🇺🇸 원문 (English)
Grafana is an open-source platform for monitoring and observability. The Infinity datasource plugin, maintained by Grafana Labs, allows visualizing data from JSON, CSV, XML, GraphQL, and HTML endpoints.
If the plugin was configured to allow only certain URLs, an attacker could bypass this restriction using a specially crafted URL. This vulnerability is fixed in version 3.4.1.
📍 영향받는 시스템
Grafana Infinity datasource plugin (version 3.4.1 미만)
⚔️ 공격 벡터
특수하게 조작된 URL을 사용하여 설정된 URL 화이트리스트 제한을 우회
🛡️ 대응 방법
Infinity datasource plugin을 버전 3.4.1 이상으로 업데이트
🔧 검증 코드
출력된 버전 번호가 3.4.1 미만이면 취약한 상태이며, 3.4.1 이상이면 안전합니다.
npm list -g @grafana/infinity-datasource --depth=0 | grep -E 'infinity-datasource@'