Remarque : La fonctionnalité sous-jacente existe dans Grafana OSS, mais la chaîne d'exploitation complète implique souvent des composants de plugins Enterprise. Tous les utilisateurs sont fortement invités à mettre à jour pour prévenir les futurs vecteurs d'attaque.

⚡ Impact

• Exécution de code à distance sur le serveur/hôte Grafana
• Compromission complète du système possible (vol de données, persistance, mouvement latéral)
• La chaîne confirmée peut mener à un accès SSH
• Affecte les environnements de surveillance/visualisation à fort impact métier

Conditions préalables à l'exploitation :

• Le feature toggle sqlExpressions doit être activé
• L'attaquant doit avoir accès à l'exécution de requêtes sur les sources de données (rôle Viewer ou supérieur)

Vecteur d'attaque : Réseau (AV:N)
Complexité de l'attaque : Faible (AC:L)
Privilèges requis : Élevé (PR:H)
Interaction de l'utilisateur : Aucune (UI:N)
Périmètre : Modifié (S:C)
Confidentialité/Intégrité/Disponibilité : Élevée (C:H/I:H/A:H)

📌 Versions affectées

• Grafana v11.6.0 et ultérieures (jusqu'aux versions corrigées)
• Concerne spécifiquement les instances avec sqlExpressions activé
• Implication du plugin Enterprise notée dans plusieurs rapports pour la chaîne complète.

✅ Versions corrigées

Mettez à jour immédiatement vers l'une des versions corrigées suivantes :

Liens de téléchargement disponibles sur le site officiel de Grafana.

🛡️ Atténuation et solutions de contournement

Recommandation principale

Passez à une version corrigée dès que possible.

Solutions de contournement temporaires (si la mise à jour est retardée)

1. Désactivez le feature toggle sqlExpressions (étape unique la plus efficace)
2. Si vous utilisez Sqlyze : Mettez à jour vers v1.5.0+ ou désactivez-le
3. Désactivez toutes les sources de données AWS (si présentes)

⚠️ Les solutions de contournement peuvent avoir un impact sur les fonctionnalités et n'éliminent pas complètement le risque dans tous les scénarios.

Meilleures pratiques supplémentaires

• Auditez et restreignez les permissions des utilisateurs pour l'exécution de requêtes sur les sources de données
• Examinez et minimisez les plugins installés
• Surveillez les activités de requêtes inhabituelles ou les modifications de fichiers dans les répertoires Grafana
• Appliquez la segmentation réseau et une authentification forte

🕒 Chronologie

• 2025-02-06 : La fonctionnalité Expressions SQL a été réimplémentée et publiée dans la v11.6.0
• 2026-02-23 : Incident interne déclaré ; Grafana Cloud corrigé peu après
• 2026-03-09 : Publication privée aux clients sous embargo
• 2026-03-25/26 : Divulgation publique et publication de sécurité
• 27 mars 2026 : CVE publié
• Découvert par : Liad Eliyahu (Responsable de la recherche chez Miggo Security) via le programme bug bounty de Grafana Labs. Divulgation responsable reconnue.

🔗 Références

• Blog officiel de la version de sécurité Grafana : https://grafana.com/blog/grafana-security-release-critical-and-high-severity-security-fixes-for-cve-2026-27876-and-cve-2026-27880/
• Page CVE de Red Hat : https://access.redhat.com/security/cve/cve-2026-27876
• Détail NVD : https://nvd.nist.gov/vuln/detail/CVE-2026-27876
• Lié : CVE-2026-27880 (DoS non authentifié via OpenFeature)

📢 Restez en sécurité

Mettez à jour vos instances Grafana dès aujourd'hui. Surveillez les canaux officiels pour tout avis complémentaire.