CVE-2024-9264
CVE-2024-9264 · Grafana SQL Expressions allow for remote code execution
Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
The SQL Expressions experimental feature of Grafana allows for the evaluation of `duckdb` queries containing user input. These queries are insufficiently sanitized before being passed to `duckdb`, leading to a command injection and local file inclusion vulnerability. Any user with the VIEWER or higher permission is capable of executing this attack. The `duckdb` binary must be present in Grafana's $PATH for this attack to function; by default, this binary is not installed in Grafana distributions.
CVSS 9.4 · Критический · EPSS 97,1% · Публичный эксплойт · Есть исправление
- Опубликовано
- Обновлено
Стек: system · applications
Затронутые продукты и версии
grafana
- Версии
- ≥ 11.0.0, < 11.0.5: Затронуто; ≥ +security-01: Не затронуто (semver)
- ≥ 11.1.0, < 11.1.6: Затронуто; ≥ +security-01: Не затронуто (semver)
- ≥ 11.2.0, < 11.2.1: Затронуто; ≥ +security-01: Не затронуто (semver)
- ≥ 11.0.0, < 11.0.6: Затронуто; ≥ +security-01: Не затронуто (semver)
- ≥ 11.1.0, < 11.1.7: Затронуто; ≥ +security-01: Не затронуто (semver)
- ≥ 11.2.0, < 11.2.2: Затронуто; ≥ +security-01: Не затронуто (semver)
Обновитесь до 11.0.6; Обновитесь до 11.1.7; Обновитесь до 11.2.2
grafana Ubuntu:16.04:LTS
- Версии
- 2.6.0+dfsg-1
- Затронутые диапазоны версий
- ECOSYSTEM: (−∞, +∞)
Нет опубликованного исправления