Redash: Beliebiger Dateizugriff über den DuckDB-Query-Runner

Zusammenfassung

Redash, ein Open-Source-Werkzeug für Datenvisualisierung und Datenfreigabe, deaktiviert den externen Zugriff im DuckDB-Query-Runner standardmässig nicht. Ein Benutzer mit Abfragezugriff auf eine von einem Administrator erstellte DuckDB-Datenquelle kann mit nativen Dateilesefunktionen Dateien lesen, auf die der Redash-Prozess zugreifen kann, oder mit COPY TO Dateien mit dessen Rechten schreiben. Das Auslesen von Anwendungsgeheimnissen wie REDASH_COOKIE_SECRET oder REDASH_SECRET_KEY könnte zudem gefälschte Sitzungen und eine Umgehung der Authentifizierung ermöglichen.

Betroffen

• Redash-Versionen ab 26.0.0 bis vor 26.9.0
• Die Quellen widersprechen sich zum Beginn des Bereichs: Der CNA-Eintrag nennt 26.0.0, während OSV alle früheren Commits als betroffen markiert. Alle Versionen vor 26.9.0 gelten als betroffen.

Behoben in

• Behoben in Redash 26.9.0
• Fix-Commit: 7387072af40913a64e7b3be470491792f2d5551c

Umgehung

• Unbekannt. Der Hersteller beschreibt für betroffene Versionen keinen Workaround.
• Übergangsmassnahme (nicht vom Hersteller): DuckDB-Datenquellen entfernen oder einschränken und Abfragezugriff auf vertrauenswürdige Administratoren begrenzen.

Ausnutzung

• CISA SSVC stuft die Ausnutzung als PoC ein, die Automatisierbarkeit als nein.
• Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden. Der CISA-KEV-Katalog wurde nicht direkt geprüft.
• Der EPSS-Wert ist niedrig (0.00525 laut einer Quelle).

Unsere Empfehlung

• Alle Redash-Instanzen auf Version 26.9.0 oder neuer aktualisieren, zuerst die gemeinsam genutzten Installationen.
• Alle Redash-Instanzen und deren Versionen erfassen und prüfen, ob sie aus dem Internet erreichbar sind.
• Bis zur Aktualisierung DuckDB-Datenquellen und Abfragezugriff auf vertrauenswürdige Benutzer beschränken.
• Nach der Aktualisierung REDASH_SECRET_KEY und REDASH_COOKIE_SECRET erneuern, wenn eine Offenlegung vor dem Update nicht ausgeschlossen werden kann.
• Der Hersteller stuft die Meldung als Medium ein, der CNA-Score beträgt 9.3. Die Aktualisierung trotzdem priorisieren, da Benutzer mit geringen Rechten auf Serverdateien und Geheimnisse zugreifen können.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-cr68-3xxj-cg9f github.com
• Redash Release v26.9.0 github.com
• Redash fix commit 7387072 github.com
• OSV CVE-2026-77371 osv.dev
• VulDB 420289 vuldb.com
• OpenCVE CVE-2026-77371 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 01:46.