CVE-2024-9264
Grafana SQL-Ausdrücke ermöglichen Remote-Codeausführung
- Veröffentlicht
- 18.10.2024
- Aktualisiert
- 14.03.2025
- CNA zuweisen
- GRAFANA
- Beweise beobachtet
- 08.08.2026
Primäres CVSS
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XHoch · nächste 30 Tage
- Perzentil
- 99,9 %
- Modelldatum
- 13.10.2026
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
Zusammenfassung
Die experimentelle Funktion SQL Expressions von Grafana ermöglicht die Auswertung von `duckdb`-Abfragen, die Benutzereingaben enthalten. Diese Abfragen werden vor der Übergabe an `duckdb` unzureichend bereinigt, was zu einer Schwachstelle für Command Injection und Local File Inclusion führt. Jeder Benutzer mit VIEWER- oder höherer Berechtigung kann diesen Angriff ausführen. Die `duckdb`-Binärdatei muss im $PATH von Grafana vorhanden sein, damit dieser Angriff funktioniert; standardmäßig ist diese Binärdatei in Grafana-Distributionen nicht installiert.
Quellen
grafana/CVE-2024-9264
Grafana SQL Expressions Remote Code Execution (CVE-2024-9264)
Vulhub vulnerability labsAngegebene Bedingungen
- lab image version: vulhub/grafana:11.0.0(grafana/CVE-2024-9264/docker-compose.yml:services.grafana.image)
http/cves/2024/CVE-2024-9264.yaml
Nuclei TemplatesAngegebene Bedingungen
- network: http($.protocol_keys)
- verification: regex,word($.matchers[*].type)
modules/exploits/multi/http/grafana_sql_expressions_rce_cve_2024_9264.rb
Metasploit Framework modulesAngegebene Bedingungen
- platform: Unix($.exploit_multi/http/grafana_sql_expressions_rce_cve_2024_9264.platform)
- verification: check_declared($.exploit_multi/http/grafana_sql_expressions_rce_cve_2024_9264.check)
- CVE-2024-9264Exploit
Eine Go-Implementierung für CVE-2024-9264, die Grafana-Versionen 11.0.x, 11.1.x und 11.2.x betrifft.
- CVE-2024-9264-FixedExploit
Korrigierter Proof-of-Concept-Exploit für CVE-2024-9264, eine kritische Grafana RCE über DuckDB SQL-Ausdrücke. Führt eine Reverse-Shell unter Verwendung der korrigierten shellfs-Erweiterung und der writefile()-Funktion aus.
Exploit für Grafana beliebiges Dateilesen und RCE (CVE-2024-9264)
CVE-2024-9264 Grafana SQL Expressions DuckDB LFI/RCE PoC
Grafana-Image mit vorhandener DuckDB-Binärdatei, anfällig für Exploit CVE-2024-9264
- CVE-2024-9264Exploit
Python-PoC für Remote-Code-Ausführung in Grafana über SQL-Ausdrücke, die unzureichende Eingabebereinigung ausnutzt, um beliebige Shell-Befehle auf authentifizierten Zielsystemen auszuführen.
- CVE-2024-9264Exploit
Authentifizierte RCE in Grafana (v11.0) über SQL-Ausdrücke - PoC-Exploit
PoC-Exploit für CVE-2024-9264: Sicherheitslücke in Grafana SQL Expression, die lokale Dateieinbindung und Remote-Codeausführung durch DuckDB-SQL-Injection ermöglicht. Enthält Docker-Lab-Setup und Python-Exploit-Skript.
- CVE-2024-9264-RCE-ExploitExploit
Grafana-RCE-Exploit (CVE-2024-9264)
Dateilesen Proof of Concept für CVE-2024-9264
Grafana SQL-Ausdrücke → DuckDB LFI (CVE-2024-9264)
- CVE-2024-9264Exploit
Grafana RCE
Ausnutzung von Schwachstellen mit Tools: Penetrationstests, Grafana, Docker, Kali Linux.
Verantwortungsvoller Umgang
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.