高风险错误可以允许攻击者获得内部网络访问
更新格拉法纳（Grafana）已迅速解决访问控制脆弱性这对开源分析和数据可视化工具的用户构成了严重威胁。
漏洞 - 安全研究员贾斯汀·加德纳（Justin Gardner）发现，并追踪为CVE-2020-13379- 涉及该技术的“化身”功能。
在咨询Grafana指出：“此漏洞允许任何未经验证的用户/客户端使Grafana将HTTP请求发送到任何URL，并将其结果返回给用户/客户端。这可以用于获取有关Grafana正在运行的网络的信息。”
Grafana释放3.0.1至7.0.1是脆弱的。敦促用户适当地升级到Grafana 6.7.4或7.0.2。
受到推崇的Kubernetes安全缺陷也从Microsoft赚取Bug Bounty
Grafana安全咨询的详细信息很薄，但Gardner能够提供更多的技术见解。
加德纳（Gardner）告诉每日swbeplay2018官网ig。
“这允许访问Localhost，内部网络，最重要的是与各种云提供商相关的元数据实例。
他补充说：“使用此漏洞利用，我能够提取AWS凭据，使我在各种错误赏金程序中访问了更多10K服务器。”
审核步道
加德纳（Gardner）在审核Grafana GtHub存储库中可用的源代码后发现了漏洞。
他解释说：“在审核源代码时，我查看了不需要身份验证的任何路线。”“从那里，我找到了 / avatar /路由，并指出它需要用户输入并将其放入HTTP请求中。
安全研究人员总结说：“我打开了Grafana的调试记录，并试图将开放的重定向链接在一起，直到我能够控制请求的结果为止。”
及时分类
加德纳（Gardner）于5月14日首先将Grafana通知Grafana。供应商在一天之内证实了该缺陷，并在两周内开发了一个补丁。
他说：“我在24小时内收到了对报告的回应，并确信该团队从一开始就开始进行补丁。”
根据他的最初计划，加德纳发布了写上去8月初的脆弱性。
CVE-2020-13379脆弱性，该漏洞给出了未经认可的完整读取服务器端请求伪造（（SSRF）在Grafana，是呈现8月1日在Hackerone的HacktivityCon上加德纳（Gardner）。
该故事于8月3日更新，以添加了Gardner对Grafana漏洞的文章的链接。
