Grafana路径遍历漏洞：一个斜杠引发的路历漏数据泄露

2021年12月，安全研究员Jonathan访问某个使用Grafana的径遍监控面板时，随手在URL末尾加了个`/../../../../etc/passwd`。路历漏他原本只是径遍想测试一下，结果服务器真的路历漏把Linux用户密码文件吐了出来。这不是径遍科幻片，是路历漏CVE-2021-43798——一个影响Grafana 8.x全系的路径遍历漏洞，CVSS评分7.5，径遍攻击复杂度低到令人发指。路历漏

漏洞的径遍根子出在Grafana的插件加载机制上。它允许通过`/public/plugins//`路径访问静态文件，路历漏但开发者忘了对`plugin-id`做严格的径遍字符过滤。你只需要把`plugin-id`替换成`../../../../../../etc/passwd`，路历漏服务器就会傻乎乎地拼接路径，径遍直接读取任意文件。路历漏更讽刺的是，官方文档还专门提醒开发者“不要信任用户输入”——显然，写这段代码的人没看自家手册。

我试着复现了一下。在未打补丁的Grafana 8.3.0上，访问`/public/plugins/alertlist/../../../../../../etc/passwd`，响应里赫然出现`root:x:0:0:root:/root:/bin/bash`。整个过程不到三秒，不需要任何认证。这意味着，任何能摸到Grafana端口的匿名用户，都能把服务器上的敏感文件翻个底朝天。

攻击面比想象中大得多。Grafana常用于监控基础设施，服务器上往往存着数据库密码、云厂商密钥、甚至内网拓扑配置。攻击者拿到`/etc/grafana/grafana.ini`就能看到数据库连接串，拿到`/var/lib/grafana/grafana.db`就能提取所有用户哈希——包括管理员账号。更阴险的是，有人利用这个漏洞读取`/proc/self/environ`，直接捞走了环境变量里的AWS临时凭证，然后横向移动进云环境。这不是我编的，是2022年2月真实发生的攻击案例。

官方修复倒是干脆，8.3.1版本直接禁止路径中包含`..`。但漏洞披露后24小时内，网上就出现了批量扫描脚本。Shodan数据显示，当时暴露在公网的Grafana实例超过30万个，其中至少10万个未及时升级。有安全团队统计，漏洞公开后一周内，针对性的扫描流量暴涨了400倍。你说这数字吓不吓人？

这事儿给运维提了个醒：监控系统本身往往是最容易被忽视的攻击入口。大家天天盯着业务服务器的漏洞，却忘了Grafana这类“辅助工具”同样暴露在公网。更扎心的是，很多团队用默认配置部署Grafana，连反向代理都没加——等于把数据库钥匙挂在门口。

补丁打了就完了吗？没那么简单。我见过不少企业，升级完Grafana就以为万事大吉，但日志分析发现攻击者早已通过漏洞植入过Webshell。路径遍历只是第一步，后续的持久化攻击才是真麻烦。建议中招过或暴露过的系统，直接重置所有凭证、审计全部文件完整性，而不是换个版本就继续跑。

说到底，这个漏洞的技术含量不高，纯粹是开发时的疏忽。但它能在安全圈炸锅，恰恰说明基础软件的信任边界有多脆弱——一个斜杠没处理好，就能让整个监控体系变成敌人的情报站。

(责任编辑：娱乐)