遠端主機上安裝的 Grafana Labs 版本受到 CVE-2024-9264 公告中提及的一個弱點影響。

  - Grafana 的 SQL 運算式實驗功能允許評估包含使用者輸入的 'duckdb' 查詢。這些查詢在傳遞至 'duckdb' 之前未經過充分清理，進而導致命令注入和本機檔案包含弱點。任何具有 VIEWER 或更高權限的使用者皆可發動此攻擊。「duckdb」二進位必須存在於 Grafana 的 $PATH 中，此攻擊才會生效；根據預設，此二進位並未安裝在 Grafana 發行版本中。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

允許 RCE 的 Grafana Labs SQL 運算式 (CVE-2024-9264)

high Nessus Plugin ID 211576

版本 1.1