Redash: SQL-Injection über Parameter von Query Results

Zusammenfassung

Redash, ein Tool zur Datenvisualisierung und Datenfreigabe, übergibt über die Datenquelle Query Results vom Angreifer kontrollierte Parameter ohne ausreichende Validierung an eine referenzierte Abfrage. Ein authentifizierter Benutzer mit reinen Leseberechtigungen (View-only) auf beide Datenquellen kann SQL einschleusen und mit den Rechten der referenzierten Datenquelle ausführen. Der Angreifer benötigt ein gültiges Konto, daher besteht das Risiko vor allem bei gemeinsam genutzten Instanzen mit Benutzern unterschiedlicher Datenquellenberechtigungen.

Betroffen

• Redash-Versionen nach 8.0.0 bis einschliesslich 26.9.0
• Genaue untere Grenze bei 8.0.0: nicht verifiziert

Behoben in

• Redash 26.9.0 (Advisory GHSA-v43x-rgcc-wh77)

Umgehung

• Kein Workaround dokumentiert. Das Aktualisieren ist die Behebung.
• Übergangsmassnahme (nicht vom Hersteller): Bis zur Aktualisierung reine Leseberechtigungen (View-only) auf Query Results-Datenquellen und referenzierte Datenquellen entfernen, soweit nicht benötigt.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn.
• CISA SSVC: Exploitation 'poc', automatisierbar 'no', technische Auswirkung 'total'.
• Kein verifizierter öffentlicher Exploit gefunden. EPSS etwa 0,7 %.
• Nicht in der CISA-KEV-Liste.

Unsere Empfehlung

• Auf Redash 26.9.0 aktualisieren. Zuerst die Metadaten-Datenbank sichern und die Webanwendung, den Scheduler und alle Worker gemeinsam aktualisieren.
• Dashboards und geplante Abfragen nach der Aktualisierung testen, da Abfragen mit Textmuster-Parametern nun vollen Datenquellenzugriff benötigen.
• Bis zur Aktualisierung prüfen, welche Benutzer reine Leseberechtigungen auf Query Results und die referenzierten Datenquellen haben.
• Gemeinsam genutzte Instanzen mit Benutzern unterschiedlicher Datenquellenberechtigungen priorisieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GHSA-v43x-rgcc-wh77 security advisory github.com
• Redash v26.9.0 release github.com
• Fix commit 048bcd9 github.com
• OSV entry CVE-2026-42093 osv.dev
• CISA ADP Vulnrichment CVE-2026-42093 vulners.com
• OpenCVE CVE-2026-42093 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 02:48.