CVE-2024-9264
Açıklama
Grafana'nın deneysel SQL Expressions özelliği, kullanıcı girişi içeren `duckdb` sorgularının değerlendirilmesine izin verir. Bu sorguların `duckdb`'ye iletilmeden önce yetersiz şekilde temizlenmesi, komut enjeksiyonuna ve yerel dosya dahil etme (LFI) zafiyetine yol açmaktadır. VIEWER veya daha yüksek izne sahip herhangi bir kullanıcı bu saldırıyı gerçekleştirebilir. Bu saldırının çalışabilmesi için `duckdb` ikili dosyasının Grafana'nın $PATH dizininde bulunması gerekir; varsayılan olarak bu ikili dosya Grafana dağıtımlarında yüklü değildir.
Nasıl düzeltilir
- github.com/grafana/grafana11.0.6+security-01, 11.1.7+security-01, 11.2.2+security-01 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| grafana grafana | 11.0.0 | — |
| github.com/grafana/grafanaGo | 11.0.0 ≤ v < 11.0.6+security-01, 11.1.0 ≤ v < 11.1.7+security-01, 11.2.0 ≤ v < 11.2.2+security-01, Aralık belirtilmemiş | 11.0.6+security-01, 11.1.7+security-01, 11.2.2+security-01 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.