Уязвимость функции Expressions платформы для мониторинга и наблюдения Grafana связана с неверным управлением генерацией кода. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путём внедрения специально сформированных SQL-запросов
Использование рекомендаций:
Для Grafana:
https://grafana.com/security/security-advisories/cve-2024-9264/
https://grafana.com/blog/2024/10/17/grafana-security-release-critical-severity-fix-for-cve-2024-9264/
Для РедОС:
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
Компенсирующие меры:
- удаление пути к исполняемому файлу duckdb из переменного окружения PATH;
- удаление исполняемого файла duckdb;
- ограничение доступа к платформе из внешних сетей (Интернет);
- отключение/удаление неиспользуемых учётных записей пользователей платформы;
- использование виртуальных частных сетей для организации удаленного доступа (VPN) к платформе.
| Балл | 9 — критическая опасность |