Luka w Grafanie 8.0.0-8.3.0 pozwala każdemu z internetu pobrać pliki z dysku serwera, w tym hasła do baz danych. CISA potwierdza ataki. Zaktualizuj Grafanę, odetnij panel od internetu i wymień hasła.
Ten alert jest dla zarządu, CTO i CFO firm, które mają własną instalację panelu monitoringu Grafana, np. do wykresów obciążenia serwerów lub sprzedaży. Werdykt: jeśli Wasza Grafana ma wersję od 8.0.0-beta1 do 8.3.0, zaktualizuj ją dziś i wymień hasła zapisane na serwerze, bo każdy z internetu może bez logowania czytać pliki z jego dysku, a ataki są zautomatyzowane.
Amerykańska agencja CISA 9 października 2025 roku dopisała CVE-2021-43798 do katalogu KEV, czyli listy podatności, o których ma dowody, że są wykorzystywane w prawdziwych atakach. To luka z grudnia 2021 roku w Grafanie, popularnej platformie do wykresów i monitoringu. Odpowiednio ułożony adres strony, zaczynający się od ścieżki do plików wtyczek, pozwala wyjść poza katalog wtyczki i pobrać dowolny plik z dysku serwera, np. konfigurację z hasłami do baz danych.
Poprawki są dostępne od 7 grudnia 2021 roku. Opis luki wyciekł wtedy publicznie, zanim producent zdążył spokojnie wydać łatkę, co zamieniło ją w zero-day. Termin CISA minął 30 października 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2021-43798 (w europejskiej bazie EUVD-2024-0581) |
Data dodania do CISA KEV | 2025-10-09 |
Termin naprawy wg CISA | 2025-10-30 (21 dni od wpisu) |
Produkt | Grafana Labs Grafana, samodzielnie instalowana; ścieżka /public/plugins/ z identyfikatorem dowolnej zainstalowanej wtyczki (wtyczki wbudowane są w każdej instalacji) |
Wersje zagrożone | Od 8.0.0-beta1 do 8.3.0 włącznie, z wyjątkiem wydań z poprawką. Grafana Cloud nigdy nie była podatna; Amazon Managed Grafana i Azure Managed Grafana potwierdziły bezpieczeństwo w dniu ogłoszenia. Red Hat Enterprise Linux 8 i 9 dostarczają starszą, niepodatną wersję |
Wersje bezpieczne | 8.0.7, 8.1.8, 8.2.7, 8.3.1 (pierwsze wydania z poprawką w każdej gałęzi). Gałąź 8.x ma kilka lat, docelowo zalecana jest aktualna wersja wspierana przez producenta |
Typ podatności | Przejście po katalogach (brak normalizacji ścieżki) i odczyt dowolnych plików; CWE-22 |
Ocena CVSS | GitHub (wystawca CVE): 7.5 WYSOKA (CVSS 3.1), tę samą wartość podają Red Hat i ENISA. NVD: 5.0 ŚREDNIA (CVSS 2.0, jedyna ocena własna NVD). Atak przez sieć, bez logowania i bez udziału użytkownika, wpływ tylko na poufność |
Wyobraź sobie magazyn, w którym klient przez okienko podaje numer regału, a magazynier przynosi pojemnik z tego regału. Pewien klient pisze: „regał 12, potem cofnij się o dwa pomieszczenia i wejdź w drzwi po lewej”. Magazynier wykonuje instrukcję dokładnie, bo umie czytać trasę, ale nie sprawdza, czy prowadzi ona nadal po magazynie. Wraca z teczką z działu kadr.
Tak działała ta luka. Grafana wydaje pliki wtyczek pod adresem z ich identyfikatorem. Program nie upraszczał ścieżki i nie sprawdzał, czy po dopisaniu znaków „katalog wyżej” nadal wskazuje ona pliki wtyczki. W efekcie serwer oddawał każdemu, kto poprosił, dowolny plik, do którego miał dostęp: konfigurację Grafany, bazę z ustawieniami, pliki systemowe. Logowanie do panelu nie miało znaczenia, bo ta ścieżka go omijała.
💡 Grafana to program do rysowania wykresów z danych (serwery, sprzedaż, czujniki), obsługiwany przez przeglądarkę. Przejście po katalogach (path traversal) to wyjście poza folder, do którego program miał się ograniczyć, np. przez „../”. Normalizacja ścieżki to uproszczenie adresu do postaci docelowej przed jego użyciem. Odwrócone proxy to serwer pośredniczący, który przyjmuje ruch przed aplikacją. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Obca osoba otwiera adres panelu Grafana | Widzi ekran logowania | Może pobrać pliki z dysku bez logowania |
Hasło do bazy danych w pliku konfiguracyjnym | Dostępne tylko dla administratora serwera | Do odczytania przez adres w przeglądarce |
Klucze do usług zewnętrznych i poczty powiadomień | Chronione uprawnieniami serwera | Mogą zostać skopiowane i użyte |
Panel dostępny z internetu „dla wygody” | Chroni go logowanie | Logowanie nie chroni przed tą luką |
Zmiana danych na serwerze | Tylko przez uprawnionych | Luka pozwala czytać, nie zmieniać, ale odczytane hasła otwierają dalsze drzwi |
źródło: Pexels, cottonbro studioPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. CISA ocenia, że atak da się zautomatyzować: gotowe opisy wykorzystania są publiczne od grudnia 2021 roku, więc skanery próbują tego samego zapytania na każdym znalezionym panelu Grafana.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Wyszukiwanie w internecie paneli Grafana | Lista adresów |
2. Odczyt plików | T+sekundy | Zapytanie na ścieżkę wtyczki z sekwencją wyjścia z katalogu | Pobrana konfiguracja Grafany, pliki systemowe |
3. Pozyskanie haseł | T+minuty | Wyciągnięcie haseł i kluczy z konfiguracji i bazy ustawień Grafany | Dane dostępu do baz, źródeł danych, poczty, chmury |
4. Użycie haseł | T+godziny do dni | Logowanie do baz danych i usług z odczytanymi danymi | Dostęp do danych firmy i klientów |
5. Dalszy atak | T+dni do tygodni | Kradzież danych, przejęcie kolejnych systemów, szantaż | Wyciek, przestój, żądanie okupu |
Luka tylko „czyta”, ale pliki konfiguracyjne serwerów monitoringu to często najcenniejsza rzecz na dysku: zebrane w jednym miejscu hasła do wszystkich źródeł danych. Nie da się też łatwo ustalić, czy ktoś już je odczytał, więc po wykryciu podatnej wersji trzeba założyć najgorsze i wymienić hasła.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wymiana wszystkich haseł i kluczy z serwera, przerwy w działaniu powiązanych usług | Dni od wykrycia | 10 tys. do 80 tys. PLN (praca IT, przestoje) |
Bezpieczeństwo danych | Wyciek haseł do baz, chmury i poczty, a przez nie danych klientów | Godziny od ataku | 20 tys. do 200 tys. PLN (analiza powłamaniowa) |
Finansowy | Nadużycia w chmurze, oszustwa na klientach, koszty specjalistów | Dni do tygodni | 30 tys. do 400 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów po wycieku danych lub fałszywych wiadomościach | Tygodnie do miesięcy | 20 tys. do 300 tys. PLN (utracone zamówienia) |
Prawny | Obowiązek zgłoszenia naruszenia danych osobowych do UODO w ciągu 72 godzin, przy wysokim ryzyku także powiadomienia osób; kary RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 10 tys. do 100 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z Grafaną 8.0.0-8.3.0 dostępną z internetu
Wpływ
5 | . . . . .
4 | . . . . .
3 | . . . . ■ ← WYSOKIE
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: prawdopodobieństwo jest najwyższe (publiczny sposób ataku, automatyzacja, EPSS blisko 90%), a wpływ bezpośredni średni, bo luka pozwala tylko czytać pliki; realna szkoda zależy od tego, jakie hasła leżą na serwerze. Panel dostępny wyłącznie z sieci firmowej ma wyraźnie niższe ryzyko.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić wersję Grafany (widoczna po zalogowaniu) we wszystkich instalacjach, także testowych | Dziś | Administrator |
2 | 🔴 NATYCHMIAST | Zaktualizować wersje 8.0.0 do 8.3.0 co najmniej do 8.0.7 / 8.1.8 / 8.2.7 / 8.3.1, docelowo do aktualnej wersji wspieranej | Dziś | Administrator / zespół DevOps |
3 | 🔴 NATYCHMIAST | Jeśli aktualizacja musi poczekać: odciąć panel od internetu lub postawić przed nim odwrócone proxy normalizujące ścieżki (zalecenie Grafana Labs) | Dziś | Administrator sieci |
4 | 🟠 PILNIE | Wymienić hasła i klucze zapisane w konfiguracji Grafany i jej źródłach danych (bazy, chmura, poczta) | Do 3 dni | Administrator / właściciele systemów |
5 | 🟠 PILNIE | Przejrzeć dzienniki serwera WWW pod kątem zapytań do /public/plugins/ z sekwencjami „../” | Do 7 dni | Zespół bezpieczeństwa |
6 | 🟡 WAŻNIE | Ograniczyć dostęp do paneli monitoringu do sieci firmowej lub VPN | Do 14 dni | CTO |
7 | 🟡 WAŻNIE | Spisać wszystkie narzędzia instalowane samodzielnie i wyznaczyć osoby odpowiedzialne za ich aktualizacje | Do 30 dni | CTO |
Grafana Labs wydała poprawki 7 grudnia 2021 roku dla wszystkich czterech gałęzi, więc aktualizacja jest dostępna i darmowa. Jeśli nie da się jej wykonać od razu, producent wskazuje obejście. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odwrócone proxy normalizujące ścieżkę zapytania (np. ustawienie normalize_path w Envoy; zalecenie producenta) | Wysoka | Średnia |
Odcięcie panelu od internetu, dostęp tylko przez VPN | Wysoka wobec skanowania z internetu | Łatwa do średniej |
Blokada na zaporze aplikacyjnej zapytań z „../” w ścieżce /public/plugins/ | Średnia: istnieją warianty kodowania ścieżki | Średnia |
Przeniesienie haseł poza pliki czytelne dla procesu Grafany | Średnia: ogranicza skutki odczytu | Trudna |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja Grafany | 8.0.0 do 8.3.0 bez poprawki | Wersja z poprawką, docelowo wspierana |
Dostęp z internetu | Panel otwarty dla każdego | Tylko sieć firmowa lub VPN |
Hasła w konfiguracji | Te same od lat, możliwe że odczytane | Wymienione |
Wiedza o ataku | Brak | Dzienniki przejrzane, wynik udokumentowany |
Odpowiedzialność | „Postawił to kiedyś programista” | Wskazany właściciel narzędzia |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Ocena CISA: wykorzystanie aktywne, automatyzowalne, skutek częściowy |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 7.5 WYSOKA wg GitHub, Red Hat i ENISA (CVSS 3.1); 5.0 ŚREDNIA wg NVD (CVSS 2.0) |
PoC dostępny publicznie? | TAK: opisy i kod wykorzystania publikowane od grudnia 2021 roku (m.in. Packet Storm, wg odnośników NVD) |
Liczba atakowanych firm | Brak publicznych informacji |
Kto wykrył błąd | Jordy Versmissen (zgłoszenie 3 grudnia 2021 roku) |
Prognoza EPSS | Około 88,5% szansy wykorzystania, percentyl 0,998 (24 sierpnia 2026, wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2021-43798
CVSS 3.1 (GitHub) 7.5/10 ███████████████░░░░░ WYSOKA
CVSS 2.0 (NVD) 5.0/10 ██████████░░░░░░░░░░ ŚREDNIA
EPSS (sierpień 2026) ~88% ██████████████████░░ BARDZO WYSOKA
PoC publiczny TAK ████████████████████ od 2021 roku
CISA KEV TAK ████████████████████ ataki potwierdzone 2021-12-03 Badacz zgłasza lukę do Grafana Labs
2021-12-06 Drugie zgłoszenie tej samej luki
2021-12-07 Wyciek opisu luki (zero-day), wydanie 8.0.7, 8.1.8, 8.2.7,
8.3.1; publikacja CVE-2021-43798 w NVD
2021-12-08 Grafana Labs publikuje aktualizację o zero-day
2025-10-09 CISA dodaje lukę do katalogu KEV
2025-10-30 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... prawie 11 miesięcy od terminu CISA, prawie 5 lat od poprawki
2026-09-17: TUTAJ JESTEŚMY Komunikat Grafana Labs z wersjami poprawek: grafana.com, Grafana 8.3.1, 8.2.7, 8.1.8 i 8.0.7 . Biuletyn z obejściem: GHSA-8pjx-jj86-j47p . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2021-43798 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Ustalić, czy firma lub jej dostawcy używają samodzielnie instalowanej Grafany | CTO | DZISIAJ |
2 | Uzyskać wersje wszystkich instalacji i informację, czy są dostępne z internetu | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową aktualizację lub odcięcie panelu od internetu | CTO | DZISIAJ |
4 | Zlecić wymianę haseł do źródeł danych podpiętych do Grafany | CTO | DO JUTRA |
5 | Sprawdzić rachunki za chmurę pod kątem nietypowych kosztów | CFO | DO JUTRA |
6 | Zarezerwować budżet na przegląd powłamaniowy, jeśli panel był dostępny z internetu | CFO | DO JUTRA |
7 | Wprowadzić wymóg listy samodzielnie instalowanych narzędzi z właścicielem i datą aktualizacji | CFO / CTO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile mamy instalacji Grafany i w jakich wersjach? | [liczba], [wersje] | 🔴 |
2 | Czy którakolwiek z nich jest dostępna z internetu? | TAK / NIE | 🔴 |
3 | Kiedy ostatnio aktualizowano Grafanę? | [data] | 🔴 |
4 | Jakie hasła i klucze są zapisane w konfiguracji Grafany i jej źródłach danych? | [lista] | 🟠 |
5 | Czy te hasła zostały wymienione po wykryciu podatnej wersji? | TAK / NIE, [data] | 🟠 |
6 | Czy w dziennikach są zapytania do /public/plugins/ z sekwencjami wyjścia z katalogu? | TAK / NIE | 🟠 |
7 | Czy Grafana pochodzi od producenta, z obrazu kontenera, czy z repozytorium systemu? | [źródło] | 🟡 |
CVE-2021-43798 pozwala każdemu z internetu odczytać pliki z serwera, na którym działa Grafana w wersji od 8.0.0-beta1 do 8.3.0, w tym hasła do baz danych i usług. Poprawka jest dostępna od grudnia 2021 roku, a CISA w październiku 2025 roku potwierdziła, że luka jest nadal wykorzystywana. Dziś trzeba sprawdzić wersję, zaktualizować lub odciąć panel od internetu i wymienić hasła zapisane na serwerze.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułPrzepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułGoogle i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.