File-Read-CVE-2024-9264

Grafana 文件读取漏洞（CVE-2024-9264）的概念验证

前提条件

• 已认证的 Grafana 用户，具备 Viewer 或更高权限
• 必须安装 DuckDB 二进制文件，且可通过 Grafana 的 PATH 访问

受影响版本

Grafana >= v11.0.0（所有 v11.x.y 版本均受影响）

使用方法

python3 poc.py [--url <目标地址>] [--user <用户名>] [--password <密码>] [--file <文件路径>]

示例

python3 poc.py --url http://127.0.0.1:3000 --user eviluser --password eviluser --file /etc/passwd

免责声明

此脚本仅用于教育目的，以及用于您已获授权测试系统安全性的受控环境中。滥用此工具可能会带来法律后果。

更多信息

https://zekosec.com/blog/file-read-grafana-cve-2024-9264/ https://grafana.com/blog/2024/10/17/grafana-security-release-critical-severity-fix-for-cve-2024-9264/