米当局、「Grafana」の既知脆弱性に対する攻撃に注意喚起

米当局は、Grafana Labsが開発するオープンソースのデータ可視化ツール「Grafana」における既知の脆弱性に対する攻撃に注意するよう呼びかけた。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）が現地時間2025年10月9日、「悪用が確認された脆弱性カタログ（KEV）」へ「CVE-2021-43798」を追加したもの。

「CVE-2021-43798」は、「Grafana」におけるプラグインパスに判明したパストラバーサルの脆弱性。細工したリクエストによって、リモートより任意のローカルファイルへアクセスすることが可能となる。

2021年に修正が実施されており、共通脆弱性評価システム「CVSSv3.1」のベーススコアは「7.5」、重要度は「高（High）」と評価されていた。

開発チームは、現地時間2021年12月3日に報告を受けて対応を進めていたところ、脆弱性が公開され、ゼロデイ攻撃が発生していることが同月7日に判明。急遽同日にセキュリティアップデートとして「同8.3.1」「同8.2.7」「同8.1.8」「同8.0.7」をリリースした経緯がある。

CISAでは、同脆弱性が悪用されていることを受け、米国内の行政機関に対して指定期間内に脆弱性への対処するよう求めた。また脆弱性は広く悪用されるおそれがあるとして、利用者に注意を呼びかけている。

（Security NEXT - 2025/10/10 ）ツイート