リモートのRedhat Enterprise Linux 8ホストにインストールされているパッケージは、RHSA-2020: 2796アドバイザリに記載されている複数の脆弱性によって影響を受ける。

  - kubernetes: YAML解析は「Billion Laughs」攻撃に対して脆弱であり、リモートでのサービス拒否を引き起こす可能性があります（CVE-2019-11253）

  - npm-serialize-javascript: シリアル化された正規表現での安全でない文字によるXSS（CVE-2019-16769）

  - grafana: XSSアノテーションポップアップの脆弱性（CVE-2020-12052）

  - grafana: 列、タイトル、またはcellLinkTooltipによるXSS（CVE-2020-12245）

  - grafana: SSRFの不適切なアクセス制御の脆弱性により、認証されていないユーザーがgrafanaにHTTPリクエストを任意のURLへ送信させることができるようになります（CVE-2020-13379）

  - grafana: OpenTSDBデータソースによるXSS（CVE-2020-13430）

  - npm-serialize-javascript: リモートの攻撃者がindex.js内のdeleteFunctions関数により任意のコードを注入する可能性があります（CVE-2020-7660）

  - npmjs-websocket-extensions: Sec-WebSocket-ExtensionsパーサーのReDoS脆弱性（CVE-2020-7662）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

RHEL 8 : Red Hat OpenShift Service Mesh servicemesh-grafana（RHSA-2020: 2796)

high Nessus プラグイン ID 138031

バージョン 1.9