CVE-2024-9264
CVE-2024-9264 · Grafana SQL Expressions allow for remote code execution
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
The SQL Expressions experimental feature of Grafana allows for the evaluation of `duckdb` queries containing user input. These queries are insufficiently sanitized before being passed to `duckdb`, leading to a command injection and local file inclusion vulnerability. Any user with the VIEWER or higher permission is capable of executing this attack. The `duckdb` binary must be present in Grafana's $PATH for this attack to function; by default, this binary is not installed in Grafana distributions.
CVSS 9.4 · Critique · EPSS 97,6% · Code d’exploitation public · Correctif disponible
- Publication
- Mise à jour
Pile logicielle: system · applications
Produits et versions concernés
grafana
- Versions du logiciel
- ≥ 11.0.0, < 11.0.5: Concernée; ≥ +security-01: Non concernée (semver)
- ≥ 11.1.0, < 11.1.6: Concernée; ≥ +security-01: Non concernée (semver)
- ≥ 11.2.0, < 11.2.1: Concernée; ≥ +security-01: Non concernée (semver)
- ≥ 11.0.0, < 11.0.6: Concernée; ≥ +security-01: Non concernée (semver)
- ≥ 11.1.0, < 11.1.7: Concernée; ≥ +security-01: Non concernée (semver)
- ≥ 11.2.0, < 11.2.2: Concernée; ≥ +security-01: Non concernée (semver)
Mettez à jour vers 11.0.6; Mettez à jour vers 11.1.7; Mettez à jour vers 11.2.2
grafana Ubuntu:16.04:LTS
- Versions du logiciel
- 2.6.0+dfsg-1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié