🇰🇷 한글 설명
SQL 데이터 소스에 쿼리 권한이 있는 인증된 사용자가 WHERE 절을 통해 timeGroup 매크로를 주입하여 CVE-2026-33375의 수정 사항을 우회할 수 있습니다. Grafana의 정규식 기반 매크로 파싱이 이를 거부하지 못해 주입된 매크로가 실행되면 제어되지 않는 메모리 소비가 발생하며, 이로 인해 Grafana 서버 프로세스가 종료되어 서비스 거부(DoS) 상태가 될 수 있습니다.
💡 쉬운 설명
권한이 있는 사용자가 특수한 명령어를 입력하여 Grafana 서버의 메모리를 과도하게 사용하게 만들 수 있습니다. 이로 인해 서버가 멈추거나 꺼져서 서비스를 이용할 수 없게 됩니다.
🇺🇸 원문 (English)
An authenticated user with permission to query a SQL data source can bypass the fix for CVE-2026-33375 by injecting the timeGroup macro through a WHERE clause, which Grafana's regex-based macro parsing does not reject. Evaluating the injected macro causes uncontrolled memory consumption that can terminate the Grafana server process, resulting in a denial of service. The Microsoft SQL Server, PostgreSQL, and MySQL data sources are affected.
📍 영향받는 시스템
Grafana (Microsoft SQL Server, PostgreSQL, MySQL 데이터 소스 사용 시)
⚔️ 공격 벡터
인증된 사용자가 SQL WHERE 절에 timeGroup 매크로를 주입하여 메모리 고갈 유도
🛡️ 대응 방법
Grafana를 최신 보안 패치가 적용된 버전으로 업데이트하고 데이터 소스 쿼리 권한을 최소화합니다.
🔧 검증 코드
출력된 버전이 취약점이 해결된 최신 보안 패치 버전인지 확인합니다.