🇰🇷 한글 설명
Grafana OSS 및 Enterprise 버전에서 플러그인 아카이브 압축 해제 시 심볼릭 링크를 안전하게 처리하지 못하는 취약점이 발견되었습니다. 공격자가 조작된 플러그인 아카이브를 통해 설치 디렉토리를 벗어나 임의의 파일을 작성하고 실행 가능한 바이너리를 생성함으로써 원격 코드 실행(RCE)이 가능합니다.
💡 쉬운 설명
가짜 플러그인 파일을 설치할 때, 이 파일이 시스템의 중요한 영역에 몰래 악성 프로그램을 설치할 수 있는 보안 구멍입니다. 이를 통해 해커가 서버의 권한을 탈취하여 원격에서 명령을 내릴 수 있습니다.
🇺🇸 원문 (English)
Grafana OSS and Grafana Enterprise did not safely resolve symbolic links when
extracting plugin archives. A crafted plugin archive can chain relative symbolic link
entries to escape the plugin installation directory, writing arbitrary files and an
executable backend binary outside that directory. The dropped executable runs with the
privileges of the Grafana server process, resulting in remote code execution.
Plugin archives are extracted before their signature is verified, so a valid plugin
signature does not prevent the write. An operator can therefore be affected by
installing a plugin that appears legitimate, as well as by installing a plugin from an
arbitrary archive using grafana-cli, the GF_INSTALL_PLUGINS environment variable, or
preinstall configuration.
Grafana Enterprise is affected because it includes the same plugin extraction code as
Grafana OSS.
📍 영향받는 시스템
Grafana OSS 및 Grafana Enterprise (플러그인 압축 해제 로직이 포함된 버전)
⚔️ 공격 벡터
조작된 심볼릭 링크가 포함된 플러그인 아카이브를 grafana-cli, 환경 변수 또는 사전 설치 설정을 통해 설치
🛡️ 대응 방법
Grafana를 최신 보안 패치가 적용된 버전으로 즉시 업데이트하고, 신뢰할 수 없는 출처의 플러그인 설치를 금지하십시오.
🔧 검증 코드
출력된 버전이 취약점이 해결된 최신 보안 패치 버전인지 공식 보안 공지(Advisory)와 대조하여 확인하십시오.