Перейти к содержимому
Noroxi
CVE-2024-9264· NVD / CVE Program· CNA GRAFANA

Grafana SQL Expressions allow for remote code execution

The SQL Expressions experimental feature of Grafana allows for the evaluation of `duckdb` queries containing user input. These queries are insufficiently sanitized before being passed to `duckdb`, leading to a command injection and local file inclusion vulnerability. Any user with the VIEWER or higher permission is capable of executing this attack. The `duckdb` binary must be present in Grafana's $PATH for this attack to function; by default, this binary is not installed in Grafana distributions.

КритическаяCVSS 9.4 · v4.0—Proof of concept Есть исправление
Опубликовано
18 окт. 2024 г.
Обновлено
17 июн. 2026 г.
EPSS
94,9 % · 100-й процентиль
Следить за этой CVE

Войдите, чтобы следить · Вы получите уведомление, если запись попадёт в KEV, получит эксплойт или обновится.

Инструменты для отчёта

JSON

Оценка срочности

65

На этой неделе

Не ждите следующего окна обслуживания.

CVSS
37 / 40 · 9.4 / 10
CISA KEV
0 / 30 · Нет в списке
EPSS
28 / 30 · 94,9 %

Решение CISA SSVC

Эксплуатация
proof of concept
Автоматизируемо
нет
Техническое влияние
полное

Vulnrichment: входные данные дерева решений CISA.

Оценка CNA и NVD

NVD
—
CNA · GRAFANA
9,4
NVD ещё не выставил свою оценку; показана оценка CNA.

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

Оценка присваивающего органа и независимая оценка NVD. Разрыв означает, что критичность спорна.

Затронутые системы

ВендорПродукт
grafanagrafana

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

  • grafana grafana11.0.0

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (GRAFANA). Не зависят от анализа CPE в NVD и обычно опережают его.

  • Grafana Grafana

    • 11.0.0 и новее · до 11.0.5затронута · semverисправлено в +security-01
    • 11.1.0 и новее · до 11.1.6затронута · semverисправлено в +security-01
    • 11.2.0 и новее · до 11.2.1затронута · semverисправлено в +security-01
    • 11.0.0 и новее · до 11.0.6затронута · semverисправлено в +security-01
    • 11.1.0 и новее · до 11.1.7затронута · semverисправлено в +security-01
    • 11.2.0 и новее · до 11.2.2затронута · semverисправлено в +security-01

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

ЭкосистемаПакетЗатронутый диапазонИсправление
Gogithub.com/grafana/grafanaс 11.0.0 · до 11.0.6+security-0111.0.6+security-01
Gogithub.com/grafana/grafanaс 11.1.0 · до 11.1.7+security-0111.1.7+security-01
Gogithub.com/grafana/grafanaс 11.2.0 · до 11.2.2+security-0111.2.2+security-01
Gogithub.com/grafana/grafanaвсе версии—
openSUSE:Tumbleweedgrafanaдо 11.3.0-1.111.3.0-1.1
SUSE:Linux Enterprise Module for Package Hub 15 SP6grafanaдо 11.5.5-150200.3.72.211.5.5-150200.3.72.2
SUSE:Linux Enterprise Module for Package Hub 15 SP6grafanaдо 11.5.5-150200.3.72.211.5.5-150200.3.72.2
SUSE:Manager Client Tools 12golang-github-prometheus-alertmanagerдо 0.26.0-1.31.20.26.0-1.31.2
SUSE:Manager Client Tools 12golang-github-prometheus-node_exporterдо 1.9.1-1.36.21.9.1-1.36.2
SUSE:Manager Client Tools 12golang-github-prometheus-prometheusдо 2.53.4-1.60.22.53.4-1.60.2
SUSE:Manager Client Tools 12grafanaдо 11.5.5-1.79.211.5.5-1.79.2
SUSE:Manager Client Tools 12prometheus-blackbox_exporterдо 0.26.0-1.27.10.26.0-1.27.1
SUSE:Manager Client Tools 15golang-github-prometheus-prometheusдо 2.53.4-150000.3.62.22.53.4-150000.3.62.2
SUSE:Manager Client Tools 15golang-github-prometheus-prometheusдо 2.53.4-150000.3.62.22.53.4-150000.3.62.2
SUSE:Manager Client Tools 15grafanaдо 11.5.5-150000.1.79.111.5.5-150000.1.79.1
SUSE:Manager Client Tools 15grafanaдо 11.5.5-150000.1.79.111.5.5-150000.1.79.1
SUSE:Manager Client Tools 15prometheus-blackbox_exporterдо 0.26.0-150000.1.27.10.26.0-150000.1.27.1
SUSE:Manager Client Tools 15prometheus-blackbox_exporterдо 0.26.0-150000.1.27.10.26.0-150000.1.27.1
SUSE:Manager Server 4.3release-notes-susemanagerдо 4.3.15.2-150400.3.133.14.3.15.2-150400.3.133.1

Тот же продукт

grafana: все записи

Другие записи с наивысшей оценкой для того же основного продукта.

  • CVE-2021-39226Snapshot authentication bypass in grafanaKEV
    89Срочно
  • CVE-2021-43798Grafana path traversalKEV
    87Срочно
  • CVE-2020-13379The avatar feature in Grafana 3.0.1 through 7.0.1 has an SSRF Incorrect Access Control issue.
    62На этой неделе
  • CVE-2018-15727Grafana 2.x, 3.x, and 4.x before 4.6.4 and 5.x before 5.2.3 allows authentication bypass because an attacker can generate a valid "remember
    58В плане
  • CVE-2022-31097Stored XSS in Grafana's Unified Alerting
    55В плане
  • CVE-2022-26148An issue was discovered in Grafana through 7.3.4, when integrated with Zabbix.
    55В плане

Исправление

На какую версию обновиться

Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.

Продукт / пакетИсправленная версияИсточник
Grafana Grafana+security-01Вендор (CNA)
Grafana Grafana11.0.5Вендор (CNA)
Grafana Grafana11.0.6Вендор (CNA)
Grafana Grafana11.1.6Вендор (CNA)
Grafana Grafana11.1.7Вендор (CNA)
Grafana Grafana11.2.1Вендор (CNA)
Grafana Grafana11.2.2Вендор (CNA)
Go:github.com/grafana/grafana11.0.6+security-01Реестр пакетов (OSV)
Go:github.com/grafana/grafana11.1.7+security-01Реестр пакетов (OSV)
Go:github.com/grafana/grafana11.2.2+security-01Реестр пакетов (OSV)
opensuse:grafana11.5.5-150200.3.72.2 · openSUSE:Leap 15.6Реестр пакетов (OSV)
opensuse:prometheus-blackbox_exporter0.26.0-150000.1.27.1 · openSUSE:Leap 15.6Реестр пакетов (OSV)
suse:golang-github-prometheus-alertmanager0.26.0-1.31.2 · SUSE:Manager Client Tools 12Реестр пакетов (OSV)
suse:golang-github-prometheus-node_exporter1.9.1-1.36.2 · SUSE:Manager Client Tools 12Реестр пакетов (OSV)
suse:golang-github-prometheus-prometheus2.53.4-1.60.2 · SUSE:Manager Client Tools 12Реестр пакетов (OSV)
suse:golang-github-prometheus-prometheus2.53.4-150000.3.62.2 · SUSE:Manager Client Tools 15Реестр пакетов (OSV)
suse:grafana11.5.5-1.79.2 · SUSE:Manager Client Tools 12Реестр пакетов (OSV)
suse:grafana11.5.5-150000.1.79.1 · SUSE:Manager Client Tools 15Реестр пакетов (OSV)
suse:prometheus-blackbox_exporter0.26.0-1.27.1 · SUSE:Manager Client Tools 12Реестр пакетов (OSV)
suse:prometheus-blackbox_exporter0.26.0-150000.1.27.1 · SUSE:Manager Client Tools 15Реестр пакетов (OSV)
suse:release-notes-susemanager4.3.15.2-150400.3.133.1 · SUSE:Manager Server 4.3Реестр пакетов (OSV)

Статус эксплойта

Есть proof of concept

Существует публичный PoC или сигнатура обнаружения. Знание об эксплойте доступно; не откладывайте установку исправлений.

Доказательство

  • Шаблон обнаружения Nuclei ×1
  • Репозиторий PoC на GitHub ×14

Noroxi не размещает код эксплойтов и не даёт на них ссылок. Показываются имена модулей Metasploit и идентификаторы шаблонов Nuclei (имена, не код); записи Exploit-DB и репозитории PoC даются только числом.

Публичные свидетельства эксплойта
ИсточникТипДата
Шаблон обнаружения NucleiШаблон Nuclei CVE-2024-9264 —
Репозиторий PoC на GitHubstars:02025-06-15
Репозиторий PoC на GitHubstars:02025-07-05
Репозиторий PoC на GitHubstars:1312024-10-19
Репозиторий PoC на GitHubstars:72024-10-20
Репозиторий PoC на GitHubstars:382024-10-21
Репозиторий PoC на GitHubstars:02024-10-21
Репозиторий PoC на GitHubstars:32025-05-31
Репозиторий PoC на GitHubstars:02025-07-05
Репозиторий PoC на GitHubstars:22025-07-07
Репозиторий PoC на GitHubstars:02025-07-21
Репозиторий PoC на GitHubstars:02025-09-13

Контекст для исследователя

Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.

Хронология

От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.

  1. Публикация
  2. Первый PoC+1 дн.
  3. Сегодня30 сент. 2026 г.+713 дн.
EPSS за 120 дней

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Ссылки на патчи и коммиты

Коммиты, PR и diff среди источников. Отправная точка для patch-diff и поиска вариантов; это исправления, не эксплойты.

Среди источников нет ссылок на коммит или PR.

Авторы

Все исследователи

Нашедшие, сообщившие и аналитики, названные в записи CNA. Нажмите имя, чтобы увидеть другие записи исследователя.

В записи CNA нет авторов.

Кандидаты в варианты

Тот же продукт, тот же класс уязвимости, в пределах 18 месяцев. Если патч не закрыл первопричину, родственная ошибка здесь.

  • CVE-2026-27876с разницей 525 дн.RCE on Grafana via sqlExpressions
    36Наблюдать

Кандидаты в цепочки

Обход аутентификации и уязвимость, требующая привилегий, в одном продукте и близко по времени: вместе они могут дать путь без аутентификации.

—

Охват bug bounty

Вендор продукта присутствует в публичной программе. Сопоставление по имени; проверьте текст scope в программе.

Технические детали

Условия атаки

  • Может быть вызвана любым, у кого есть доступ через интернет.
  • Достаточно учётной записи с низкими привилегиями.
  • Действия пользователя не требуются.
  • Особые условия не требуются; воспроизводится стабильно.

В случае успеха

Конфиденциальность
Целостность
Доступность
Вектор атаки
Сеть
Сложность атаки
Низкая
Требуемые привилегии
Низкие
Взаимодействие с пользователем
Не требуется
Область действия
X

Класс уязвимости (CWE)

CWE-94 · Improper Control of Generation of Code ('Code Injection')

Вектор CVSS

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

nvd-secondary

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

Анализ Noroxi

Анализа Noroxi для этой записи пока нет

Мы не пишем анализ вручную для всех 385 000+ уязвимостей; это было бы нечестно. Для значимых уязвимостей с реальным влиянием наша команда описывает механизм, обнаружение и устранение.

Мы используем этот продукт, нужна помощь

Журнал изменений

  1. Исправление✗ → ✓

Для отслеживаемых записей эти изменения приходят и как уведомления. →

Источники

Рекомендации вендоров и официальные записи. Ссылки на эксплойты/PoC намеренно исключены.

Все записи