Grafana のディレクトリトラバーサルでローカルファイル読み取り（悪用確認済み）

High（CVSS 7.5）に分類されるGrafana Labs Grafanaの脆弱性です。Grafana のプラグイン配信 URL にディレクトリトラバーサルがあり、未認証の攻撃者がサーバのローカルファイルを読み取れる。脆弱な URL は <grafana_host_url>/public/plugins/<plugin_id>/ の形で、plugin_id はインストール済みプラグインの ID（既定で存在する ID があるため、攻撃者は総当たりできる）。読み取れるファイルは Grafana プロセスの権限次第で、実務上は grafana.ini（データソースの資格情報や secret_key を含む）、/etc/passwd、コンテナ内のトークンなどが狙われる。影響は 8.0.0-beta1 から 8.3.0 まで（修正版を除く）で、修正版は 8.0.7 / 8.1.8 / 8.2.7 / 8.3.1。GitHub の advisory は Grafana Cloud が影響を受けたことは一度も無いと明記している。CVSS は評価元で扱いが異なり、CNA の GitHub は CVSS 3.1 で 7.5 High（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N）、NVD の Primary は CVSS v2 の 5.0 のみで CVSS 3.x のスコアを付けていない。当サイトは CVSS 3.1 の 7.5 を採用している。CISA KEV には 2025-10-09 に収載され、是正期限は 2025-10-30。2021年当時 0-day として実際に悪用され、KEV 収載はその4年後である。

対応は Grafana 本体の更新で終わるが、この CVE は「読まれたものを取り戻せない」種類なので、更新と同じ重さで資格情報の再発行を考える必要がある。判定は、/api/health または画面フッタでバージョンを確認し、8.0.0-beta1〜8.3.0（8.0.7 / 8.1.8 / 8.2.7 / 8.3.1 未満）なら該当と見る。実務で見落としやすいのは、Kubernetes に Helm で入れた Grafana（kube-prometheus-stack のサブチャートなど）、監視スタックの一部として古い版が固定されているケース、そして「一時的に立てた」ダッシュボードである。到達性の確認は、インターネットから直接 :3000 が見えていないか（ALB / Ingress / SG / NSG の公開範囲）を合わせて見る。対応は、8.3.1 以降（現行なら大きく上げるのが望ましい）へ更新し、公開していた期間があるなら grafana.ini や環境変数で渡していた secret_key・データソースのパスワード・API キー・SMTP 認証情報を、読み取られた前提で全て再発行する。加えてアクセスログで /public/plugins/ への不審なリクエスト（../ を含むパス）を遡って探し、実際に読まれた痕跡があるかを確認する。すぐに更新できない場合の緩和は、リバースプロキシ（nginx / ALB のルール / WAF）で /public/plugins/ 配下の ../ を含むリクエストを拒否する、または Grafana をインターネットから切り離して VPN・プライベート経路のみに限定することである。Grafana Cloud を使っている場合は影響を受けないと advisory が明記しているため、対象外として台帳を閉じてよい。完了条件は、全 Grafana インスタンスが修正版以上であること、公開実績のある環境で資格情報が再発行済みであること、この2点である。KEV 是正期限 2025-10-30 は経過している。

Grafana Labs Grafana を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2021-43798）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2025/10/30 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。