Критическая уязвимость в Grafana открывает возможности для удаленного выполнения кода

Главное:

• Обнаружена критическая уязвимость CVE-2024-9264 в Grafana, которая может привести к удаленному выполнению кода.
• Уязвимость затрагивает более 100 000 экземпляров Grafana, включая 19 000 в США.
• Пользователям обеспечены шесть новых версий для устранения проблемы.

Что такое уязвимость CVE-2024-9264?

Недавно в Grafana, популярной платформе для анализа и визуализации данных, была обнаружена серьезная уязвимость под названием CVE-2024-9264. Эта уязвимость имеет высокий уровень критичности – оценка CVSS v4 составляет 9.4, что подчеркивает степень угрозы. Основной проблемой является несанкционированное выполнение SQL-запросов к базе данных через новую экспериментальную функцию SQL Expressions, которая, как выяснилось, уязвима для инъекций и других атак из-за недостаточной проверки входящих данных.

Интересно, что Axios по данным Grafana Labs, уязвимость может эксплуатироваться любым пользователем, имеющим хотя бы базовый доступ к системе (т.е. права «viewer» или выше). Это ставит под угрозу безопасность данных в системах, использующих Grafana для обработки данных.

Как предотвратить угрозу?

В компании Grafana Labs незамедлительно начали вырабатывать решение, выпустив шесть обновленных версий программного обеспечения, одну из которых можно установить без обновления до последней версии. Пользователям рекомендуется немедленно обновиться до одной из следующих версий: 11.0.5+security-01, 11.1.6+security-01 или 11.2.1+security-01, которые исправляют проблему. Особенно важно учитывать, что функция SQL Expressions активирована по умолчанию, и недостаточная безопасность данной функции привела к проблеме.

Кроме того, как временное решение, пользователи могут повысить уровень безопасности, удалив бинарный файл DuckDB из своих систем или не позволяя Grafana иметь доступ к нему в PATH.

Статистика уязвимости и её последствия

По данным анализа, проведенного платформой разведки Netlas.io, более 100 000 экземпляров Grafana могут оказаться уязвимыми. Это включает почти 19 000 инстансов только в США, что говорит о значительном масштабе проблемы. Уязвимость была впервые обнаружена 26 сентября 2024 года, и в тот же день начались работы по разработке патча. К 1 октября все экземпляры Grafana Cloud получили исправление, но для открытых версий оно стало доступно лишь на третьи сутки после первого обнаружения проблемы.

Эти события подчеркивают важность обеспечения безопасности программных платформ, на которых строятся критически важные бизнес-процессы. Более 10% из потенциально уязвимых инстансов находились в США, что ставит под угрозу большой объем данных и может привести к утечкам информации.

Предлагаю всем читателям выразить своё мнение по поводу этой новости. Как вы считаете, насколько серьезна угроза, и что необходимо предпринять, чтобы избежать подобные инцидентов в будущем?