Grafana: Denial of Service durch Speichererschöpfung in SQL Expressions

Zusammenfassung

Grafana OSS und Grafana Enterprise in den aufgeführten 13.x-Versionen enthalten eine Schwachstelle in der Funktion SQL Expressions. Ein Benutzer mit der Rolle Viewer kann mit einer einzelnen SQL-Expression-Abfrage einen Wert in eine sehr grosse BINARY-Länge umwandeln, wodurch Grafana unbegrenzt Speicher reserviert und abstürzt. Der Angreifer benötigt ein gültiges Viewer-Konto, und die Auswirkung beschränkt sich auf die Verfügbarkeit; es werden keine Daten offengelegt.

Betroffen

• Grafana OSS 13.1.0 bis 13.1.9
• Grafana OSS 13.2.0 bis 13.2.5
• Grafana OSS 13.3.0 (Standard: nicht betroffen, gemäss CVE-Eintrag)
• Grafana Enterprise 13.1.0 bis 13.1.9
• Grafana Enterprise 13.2.0 bis 13.2.5
• Grafana Enterprise 13.3.0 (Standard: nicht betroffen, gemäss CVE-Eintrag)

Behoben in

• Grafana 13.3.1 (aufgeführt in den Release Notes zu Grafana v13.3.1)
• Behobene Versionen für die Zweige 13.1.x und 13.2.x: Unbekannt. In der Grafana-Sicherheitsmitteilung bestätigen.
• Distributionspakete (zum Beispiel Red Hat oder SUSE): Die Sicherheitsmitteilung des Distributors mit deren eigenen Versionsnummern prüfen.

Umgehung

• Vom Hersteller wird keine Workaround-Massnahme veröffentlicht. Unbekannt.
• Die Rolle Viewer nur den notwendigen Benutzern zuweisen.
• Prüfen, ob anonymer Zugriff aktiviert ist, da dieser allen Personen, die die Instanz erreichen können, faktisch Viewer-Rechte gewährt.
• Speicherlimits für Container oder systemd setzen, damit ein Absturz eingegrenzt wird und der Dienst automatisch neu startet (eigene Empfehlung, nicht vom Hersteller).

Ausnutzung

• Gemäss Einstufung von OffSeq nicht bekannt, dass die Schwachstelle ausgenutzt wird.
• Zum Zeitpunkt der Recherche wurden kein öffentlicher Proof of Concept, kein Eintrag im CISA KEV und keine Aussage des Herstellers zur Ausnutzung gefunden.

Unsere Empfehlung

• Alle Grafana-OSS- und Enterprise-Instanzen inventarisieren, einschliesslich Container-Images und Helm-Deployments, und deren genaue Versionen erfassen.
• Betroffene 13.x-Instanzen auf 13.3.1 oder auf die vom Hersteller für den eigenen Zweig aufgeführte behobene Version aktualisieren.
• Bis zur Behebung Viewer- und anonyme Konten prüfen und Speicherlimits setzen.
• Aus ddem Internet erreichbare Instanzen sowie Instanzen mit geteilten oder externen Benutzerkonten priorisieren.
• Die Grafana-Sicherheitsmitteilung auf Änderungen prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Grafana security advisory CVE-2026-107509 grafana.com
• Grafana v13.3.1 release notes github.com
• OffSeq threat radar: CVE-2026-107509 radar.offseq.com
• Grafana community Helm charts issue 990 github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 16:25.