Nota: La funzionalità sottostante esiste in Grafana OSS, ma la catena di exploit completa spesso coinvolge componenti del plugin Enterprise. Si consiglia vivamente a tutti gli utenti di aggiornare per prevenire futuri vettori di attacco.

⚡ Impatto

• Esecuzione di codice remota sul server/host Grafana
• Possibile compromissione completa del sistema (furto di dati, persistenza, movimento laterale)
• La catena confermata può portare all'accesso SSH
• Colpisce gli ambienti di monitoraggio/visualizzazione con alto impatto aziendale

Prerequisiti per lo sfruttamento:

• Il feature toggle sqlExpressions deve essere abilitato
• L'attaccante deve avere accesso per eseguire query sulle sorgenti dati (ruolo Viewer o superiore)

Vettore di attacco: Rete (AV:N)
Complessità dell'attacco: Bassa (AC:L)
Privilegi richiesti: Alti (PR:H)
Interazione dell'utente: Nessuna (UI:N)
Scope: Modificato (S:C)
Riservatezza/Integrità/Disponibilità: Alta (C:H/I:H/A:H)

📌 Versioni interessate

• Grafana dalla v11.6.0 in poi (fino alle release corrette)
• Colpisce in particolare le istanze con sqlExpressions abilitato

Il coinvolgimento del plugin Enterprise è stato segnalato in diversi report per la catena completa.

✅ Versioni corrette

Aggiornate immediatamente a una delle seguenti release corrette:

I link per il download sono disponibili sul sito ufficiale di Grafana.

🛡️ Mitigazione e soluzioni alternative

Raccomandazione principale

Aggiornare a una versione corretta il prima possibile.

Soluzioni alternative temporanee (se l'aggiornamento è ritardato)

1. Disabilitare il feature toggle sqlExpressions (singolo passo più efficace)
2. Se si utilizza Sqlyze: aggiornare alla v1.5.0+ o disabilitarlo
3. Disabilitare tutte le sorgenti dati AWS (se presenti)

⚠️ Le soluzioni alternative possono influire sulla funzionalità e non eliminano completamente il rischio in tutti gli scenari.

Ulteriori buone pratiche

• Verificare e limitare i permessi degli utenti per l'esecuzione di query sulle sorgenti dati
• Rivedere e ridurre al minimo i plugin installati
• Monitorare attività di query anomale o modifiche ai file nelle directory di Grafana
• Applicare segmentazione di rete e autenticazione forte

🕒 Cronologia

• 2025-02-06: La funzionalità SQL Expressions è stata reimplementata e rilasciata nella v11.6.0
• 2026-02-23: Dichiarato incidente interno; Grafana Cloud è stata corretta poco dopo
• 2026-03-09: Rilascio privato per i clienti in embargo
• 2026-03-25/26: Divulgazione pubblica e release di sicurezza
• 27 marzo 2026: Pubblicazione del CVE

Scoperto da: Liad Eliyahu (Head of Research at Miggo Security) tramite il programma bug bounty di Grafana Labs. Divulgazione responsabile riconosciuta.

🔗 Riferimenti

• Blog ufficiale della release di sicurezza di Grafana: https://grafana.com/blog/grafana-security-release-critical-and-high-severity-security-fixes-for-cve-2026-27876-and-cve-2026-27880/
• Pagina CVE di Red Hat: https://access.redhat.com/security/cve/cve-2026-27876
• Dettagli NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-27876
• Correlato: CVE-2026-27880 (DoS non autenticato tramite OpenFeature)

📢 Rimanete al sicuro

Aggiornate le vostre istanze Grafana oggi. Monitorate i canali ufficiali per eventuali advisory di follow-up.