Примечание: Базовая функциональность присутствует в версии OSS Grafana, но полная цепочка эксплуатации часто задействует компоненты плагина Enterprise. Всем пользователям настоятельно рекомендуется обновиться, чтобы предотвратить будущие векторы атак.

⚡ Воздействие

• Удаленное выполнение кода на сервере/хосте Grafana
• Возможна полная компрометация системы (кража данных, закрепление, боковое перемещение)
• Подтвержденная цепочка может привести к SSH-доступу
• Затрагивает среды мониторинга/визуализации с высоким бизнес-влиянием

Необходимые условия для эксплуатации:

• Флаг функциональности sqlExpressions должен быть включен
• Злоумышленнику требуется доступ для выполнения запросов к источникам данных (роль Просмотрщика или выше)

Вектор атаки: Сетевой (AV:N)
Сложность атаки: Низкая (AC:L)
Требуемые привилегии: Высокие (PR:H)
Взаимодействие с пользователем: Отсутствует (UI:N)
Область воздействия: Изменена (S:C)
Конфиденциальность/Целостность/Доступность: Высокая (C:H/I:H/A:H)

📌 Затронутые версии

• Grafana версии 11.6.0 и новее (до исправленных выпусков)
• Конкретно затрагивает экземпляры с включенным sqlExpressions

В нескольких отчетах для полной цепочки отмечено участие плагина Enterprise.

✅ Исправленные версии

Обновитесь немедленно до одного из следующих исправленных выпусков:

Ссылки для скачивания доступны на официальном сайте Grafana.

🛡️ Смягчение и обходные пути

Основная рекомендация

Обновитесь до исправленной версии как можно скорее.

Временные обходные пути (если обновление откладывается)

1. Отключите флаг функциональности sqlExpressions (наиболее эффективный одиночный шаг)
2. Если используется Sqlyze: Обновитесь до v1.5.0+ или отключите его
3. Отключите все источники данных AWS (если они присутствуют)

⚠️ Обходные пути могут повлиять на функциональность и не устраняют риск полностью во всех сценариях.

Дополнительные лучшие практики

• Аудируйте и ограничивайте разрешения пользователей на выполнение запросов к источникам данных
• Проверьте и минимизируйте количество установленных плагинов
• Отслеживайте подозрительную активность запросов или изменения файлов в каталогах Grafana
• Применяйте сегментацию сети и строгую аутентификацию

🕒 Хронология

• 2025-02-06: Функция SQL Expressions перереализована и выпущена в версии 11.6.0
• 2026-02-23: Объявлен внутренний инцидент; Grafana Cloud исправлена вскоре после этого
• 2026-03-09: Частный выпуск для клиентов с эмбарго
• 2026-03-25/26: Публичное раскрытие и выпуск исправления безопасности
• 27 марта 2026 года: Опубликован CVE

Обнаружено: Лиад Элияху (Глава отдела исследований в Miggo Security) через программу bug bounty Grafana Labs. За ответственное раскрытие информации выражена благодарность.

🔗 Ссылки

• Официальный блог безопасности Grafana: https://grafana.com/blog/grafana-security-release-critical-and-high-severity-security-fixes-for-cve-2026-27876-and-cve-2026-27880/
• Страница CVE Red Hat: https://access.redhat.com/security/cve/cve-2026-27876
• Детали NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-27876
• Связанный: CVE-2026-27880 (DoS без аутентификации через OpenFeature)

📢 Оставайтесь в безопасности

Обновите свои экземпляры Grafana сегодня. Следите за официальными каналами на предмет последующих уведомлений.