1. Tổng quan và phân tích
Qua hoạt động theo dõi giám sát diễn biến an toàn thông tin trên không gian mạng, Team CyberSec CMC Telecom ghi nhận lỗ hổng CVE-2024-9264 mức độ nghiêm trọng phần mềm Grafana. Khai thác thành công lỗ hổng cho phép tác nhân đe dọa thực thi mã từ xa (RCE) trên hệ thống bị ảnh hưởng.
Theo tài liệu mô tả, nguyên nhân xảy ra nằm trong tính năng thử nghiệm SQL Expressions, tính năng này tạo điều kiện thuận lợi cho việc đánh giá các truy vấn DuckDB chứa thông tin đầu vào của người dùng. Nếu thông tin đầu vào không được làm sạch hoàn toàn (sanitized) trước khi truyền tới DuckDB, có thể dẩn đến lỗ hổng Command Injection và Local File Inclusion. Đáng chú ý, bất kỳ người dùng nào sở hữu quyền VIEWER hoặc cao hơn đều có thể khai thác lỗ hổng này, thực hiện các cuộc tấn công thực thi mã từ xa tùy ý
- CVSS v3.1 score: 9.9
- Vulnerability: Command Injection, Local File Inclusion
***Điều kiện khai thác
Tệp nhị phân DuckDB được cài đặt và đưa vào PATH của môi trường quy trình Grafana. Theo mặc định, tệp nhị phân này không được cài đặt trong bản phân phối Grafana.
2. Ảnh hưởng và giảm thiểu rủi ro
Các phiên bản Grafana dưới 11.0.5, 11.1.6 và 11.2.1 đều bị ảnh hưởng. Phạm vi rủi ro mở rộng rộng rãi vì các cuộc tấn công này có thể làm tổn hại đáng kể đến tính bảo mật, tính toàn vẹn và tính sẵn sàng, gây ra các mối đe dọa nghiêm trọng đối với tính toàn vẹn của dữ liệu và hệ thống.
| STT | Tên Ứng dụng | Phiên bản ảnh hưởng | Phiên bản cần nâng cấp |
|---|---|---|---|
| 1 | Grafana | < 11.0.6 | >= 11.0.6 |
| < 11.1.7 | >= 11.1.7 | ||
| < 11.2.2 | >= 11.2.2 |
**Khuyến nghị
Thực hiện kiểm tra, rà soát và xác minh đối với các cảnh báo lỗ hổng, nếu có sử dụng thì cần áp dụng các biện pháp như sau:
- Nâng cấp lên phiên bản mới (đã fix)
- Xác thực đường dẫn: Đảm bảo rằng tệp nhị phân DuckDB không được cài đặt trong PATH của Grafana trừ khi được yêu cầu và phải bảo mật rõ ràng.
**Liên quan
- https://grafana.com/security/security-advisories/cve-2024-9264/
- https://grafana.com/blog/2024/10/17/grafana-security-release-critical-severity-fix-for-cve-2024-9264/
- https://grafana.com/grafana/download
