CVE-2024-9264 в Grafana: SQL-выражения через DuckDB читают файлы сервера

В Grafana 11.0.0–11.1.6 и части ветки 11.2 функция SQL Expressions передавала запросы во встроенный бинарник DuckDB, что позволяло аутентифицированному пользователю с ролью Viewer читать и записывать файлы на сервере. Уязвимости присвоен балл 9.9; эксплойт появился вскоре после раскрытия.

• Уязвимость затрагивает Grafana 11.0.0–11.1.6 и часть релизов 11.2
• Эксплуатация требует включённых SQL Expressions и бинарника duckdb в PATH
• Достаточно роли Viewer — минимальной аутентифицированной в продукте
• Через чтение файлов доступны токены, конфиги провижининга и метаданные облака