---

📋 Überblick

CVE-ID: CVE-2026-27876
Schweregrad: Kritisch (CVSS v3.1: 9.1)
Veröffentlicht: 27. März 2026
CWE: CWE-94 (Unzureichende Kontrolle der Code-Generierung / Code-Injection)

Die Funktion SQL Expressions von Grafana (in v11.6.0 mit MySQL-ähnlicher Syntax eingeführt/neu implementiert) ermöglicht Benutzern die Transformation von Abfragedaten mit vertrautem SQL. Diese Fähigkeit erlaubte jedoch unbeabsichtigt beliebige Dateischreibvorgänge im Dateisystem. In Kombination mit bestimmten Komponenten (einschließlich eines Grafana Enterprise-Plugins) führt dies zu entfernter beliebiger Codeausführung (RCE).

Angreifer mit ausreichenden Berechtigungen können kritische Dateien überschreiben (z. B. Sqlyze-Treiber oder AWS-Datenquellenkonfigurationen) und möglicherweise eine SSH-Verbindung zum Grafana-Host herstellen.

Hinweis: Die zugrunde liegende Funktion ist in Grafana OSS vorhanden, aber die vollständige Exploit-Kette beinhaltet oft Enterprise-Plugin-Komponenten. Allen Benutzern wird dringend empfohlen, zu aktualisieren, um zukünftige Angriffsvektoren zu verhindern.

---

⚡ Auswirkungen

• Remote-Codeausführung auf dem Grafana-Server/-Host
• Vollständige Systemkompromittierung möglich (Datendiebstahl, Persistenz, laterale Bewegung)
• Bestätigte Kette kann zu SSH-Zugriff führen
• Betrifft Überwachungs-/Visualisierungsumgebungen mit hohen geschäftlichen Auswirkungen

Voraussetzungen für die Ausnutzung:

• Der sqlExpressions-Feature-Toggle muss aktiviert sein
• Der Angreifer benötigt Zugriff zur Ausführung von Datenquellenabfragen (Viewer-Rolle oder höher)

Angriffsvektor: Netzwerk (AV:N)
Angriffskomplexität: Niedrig (AC:L)
Erforderliche Berechtigungen: Hoch (PR:H)
Benutzerinteraktion: Keine (UI:N)
Scope: Geändert (S:C)
Vertraulichkeit/Integrität/Verfügbarkeit: Hoch (C:H/I:H/A:H)

---

📌 Betroffene Versionen

• Grafana v11.6.0 und später (bis zu den gepatchten Versionen)
• Betrifft speziell Instanzen mit aktiviertem sqlExpressions

Enterprise-Plugin-Beteiligung wurde in mehreren Berichten für die vollständige Kette festgestellt.

---

✅ Behobene Versionen

Aktualisieren Sie sofort auf eine der folgenden gepatchten Versionen:

Download-Links sind auf der offiziellen Grafana-Website verfügbar.

---

🛡️ Gegenmaßnahmen & Workarounds

Primäre Empfehlung

Aktualisieren Sie auf eine behobene Version so schnell wie möglich.

Temporäre Workarounds (falls die Aktualisierung verzögert ist)

1. Deaktivieren Sie den sqlExpressions-Feature-Toggle (effektivster einzelner Schritt)
2. Bei Verwendung von Sqlyze: Aktualisieren Sie auf v1.5.0+ oder deaktivieren Sie es
3. Deaktivieren Sie alle AWS-Datenquellen (falls vorhanden)

⚠️ Workarounds können die Funktionalität beeinträchtigen und beseitigen das Risiko in allen Szenarien nicht vollständig.

Zusätzliche bewährte Verfahren

• Überprüfen und beschränken Sie Benutzerberechtigungen für die Ausführung von Datenquellenabfragen
• Überprüfen und minimieren Sie installierte Plugins
• Überwachen Sie auf ungewöhnliche Abfrageaktivitäten oder Dateiänderungen in Grafana-Verzeichnissen
• Wenden Sie Netzwerksegmentierung und starke Authentifizierung an

---

🕒 Zeitleiste

• 2025-02-06: SQL Expressions-Funktion neu implementiert und in v11.6.0 veröffentlicht
• 2026-02-23: Interner Vorfall gemeldet; Grafana Cloud kurz danach gepatcht
• 2026-03-09: Private Veröffentlichung an Kunden mit Embargo
• 2026-03-25/26: Öffentliche Offenlegung und Sicherheitsveröffentlichung
• 27. März 2026: CVE veröffentlicht

Entdeckt von: Liad Eliyahu (Forschungsleiter bei Miggo Security) über das Bug-Bounty-Programm von Grafana Labs. Verantwortungsvolle Offenlegung bestätigt.

---

🔗 Referenzen

• Offizieller Grafana-Sicherheitsveröffentlichungs-Blog: https://grafana.com/blog/grafana-security-release-critical-and-high-severity-security-fixes-for-cve-2026-27876-and-cve-2026-27880/
• Red Hat CVE-Seite: https://access.redhat.com/security/cve/cve-2026-27876
• NVD Detail: https://nvd.nist.gov/vuln/detail/CVE-2026-27876
• Verwandt: CVE-2026-27880 (nicht authentifizierter DoS über OpenFeature)

---

📢 Bleiben Sie sicher

Aktualisieren Sie Ihre Grafana-Instanzen heute. Überwachen Sie offizielle Kanäle auf etwaige Folgehinweise.