El delimitador de sentencias por defecto de MySql es el punto y coma (;), cada sentencia que termina con punto y como se ejecuta por separado. Cuando escribís procedimientos tenés que cambiar temporalmente el separador de sentencias (DELIMITER) para que trate todo el procedimiento como una unidad.
Cuando concatenas la sentencia GRANT, entrecomillaste (con comillas simples) los parámetros: var_permisos (lista de palabras reservadas), var_db (nombre de la base de datos) y var_tbl (nombre de la tabla); por lo que no van entrecomilladas, no son cadenas.
De esta forma funciona:
DELIMITER //
CREATE PROCEDURE ST_PERMISOS(IN var_permisos varchar(40), IN var_db varchar(45), IN var_tbl varchar(45), IN var_usuario varchar(40))
BEGIN
SET @permisos = CONCAT("GRANT ", var_permisos, " ON ", var_db, ".", var_tbl, " TO '", var_usuario, "'@'localhost'");
PREPARE stmt FROM @permisos;
EXECUTE stmt;
DEALLOCATE PREPARE stmt;
END //
DELIMITER ;
Para ejecutar el procedimiento:
CALL ST_PERMISOS("SELECT,UPDATE", "usuarios", "admin_user", "sperezpo");
Siempre es recomendable utilizar Prepared statments con marcadores (placeholders: ?) para los parámetros que representan valores, en lugar de queries normales (planas), principalmente por cuestiones de seguridad (para prevenir SQL Injection), aunque tiene otra ventaja: si la query se ejecuta varias veces parsea la misma una sola vez y no cada vez que se ejecuta (mayor rapidez). Aunque en este caso no aplica ya que los parámetros son palabras reservadas, el nombre de la base de datos y el nombre de la tabla (o el objeto sobre el que se aplican los permisos); y no datos (los marcadores tampoco pueden ir entrecomillados).