BDU:2024-08254
Grafana Labs, ООО «Ред Софт» Grafana, РЕД ОС
2024-09-26
Уязвимость функции Expressions платформы для мониторинга и наблюдения Grafana связана с неверным управлением генерацией кода. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путём внедрения специально сформированных SQL-запросов
Технический анализ и план устранения
🇷🇺 Рекомендация ФСТЭК
Использование рекомендаций: Для Grafana: https://grafana.com/security/security-advisories/cve-2024-9264/ https://grafana.com/blog/2024/10/17/grafana-security-release-critical-severity-fix-for-cve-2024-9264/
Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
Компенсирующие меры: - удаление пути к исполняемому файлу duckdb из переменного окружения PATH; - удаление исполняемого файла duckdb; - ограничение доступа к платформе из внешних сетей (Интернет); - отключение/удаление неиспользуемых учётных записей пользователей платформы; - использование виртуальных частных сетей для организации удаленного доступа (VPN) к платформе.