CVE-2026-28381

Nieautoryzowany odczyt/zapis plików przez Snowflake datasource w Grafana

CVSS 9.6v3.1pub. 2026-06-22upd. 2026-06-30

Podatność w integracji Grafana ze Snowflake umożliwia każdemu uwierzytelnionemu użytkownikowi mającemu dostęp do wykonywania zapytań na tym źródle danych odczytywanie i zapisywanie plików na lokalnym serwerze Grafana. Stanowi to poważne zagrożenie dla integralności i poufności danych systemowych.

▸ Pokaż oryginał (EN)

The Snowflake datasource allows for GET/PUT commands, which can allow any user with access to run queries against the data source to read/write files between the local grafana server and the connected Snowflake host.

🤖 Analiza AI

Jak działa

Snowflake datasource w Grafana obsługuje polecenia GET i PUT, które służą do transferu plików między lokalnym serwerem a hostem Snowflake. Mechanizm ten nie jest odpowiednio ograniczony pod kątem uprawnień — każdy użytkownik posiadający dostęp do uruchamiania zapytań na tym źródle danych może wykorzystać te polecenia do odczytu lub zapisu dowolnych plików dostępnych dla procesu Grafana na serwerze lokalnym. Brak właściwej kontroli dostępu (CWE-284) sprawia, że operacje na plikach wykraczają poza zamierzony zakres uprawnień użytkownika.

Skutki

Atakujący może odczytywać potencjalnie wrażliwe pliki z lokalnego serwera Grafana (np. pliki konfiguracyjne, dane uwierzytelniające) oraz zapisywać na nim własne pliki, co może prowadzić do eskalacji uprawnień lub dalszego naruszenia infrastruktury. Wysoki wpływ na poufność (C:H) i integralność (I:H) przy przełamaniu zakresu (S:C) czyni tę podatność krytyczną.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://grafana.com/security/security-advisories/cve-2026-28381). Do czasu aktualizacji zaleca się ograniczenie dostępu do Snowflake datasource wyłącznie do zaufanych i niezbędnych użytkowników oraz monitorowanie aktywności zapytań pod kątem użycia poleceń GET/PUT.

Kogo dotyczy

Instalacje Grafana korzystające ze Snowflake datasource, w których użytkownicy mają uprawnienia do wykonywania zapytań na tym źródle danych. Szczegółowe wersje wskazane w referencjach producenta.