El delimitador de sentencias por defecto de MySql es el punto y coma (;), cada sentencia que termina con punto y como se ejecuta por separado. Cuando escribís procedimientos tenés que cambiar temporalmente el separador de sentencias (DELIMITER) para que trate todo el procedimiento como una unidad.
Cuando concatenas la sentencia GRANT, entrecomillaste (con comillas simples) los parámetros: var_permisos (lista de palabras reservadas), var_db (nombre de la base de datos) y var_tbl (nombre de la tabla); por lo que no van entrecomilladas, no son cadenas.
De esta forma funciona:
DELIMITER //
CREATE PROCEDURE ST_PERMISOS(IN var_permisos varchar(40), IN var_db varchar(45), IN var_tbl varchar(45), IN var_usuario varchar(40))
BEGIN
SET @permisos = CONCAT("GRANT ", var_permisos, " ON ", var_db, ".", var_tbl, " TO '", var_usuario, "'@'localhost'");
PREPARE stmt FROM @permisos;
EXECUTE stmt;
DEALLOCATE PREPARE stmt;
END //
DELIMITER ;
Para ejecutar el procedimiento:
CALL ST_PERMISOS("SELECT,UPDATE", "usuarios", "admin_user", "sperezpo");