リモートのRocky Linux 8ホストには、RLSA-2021:3771アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - Grafana は、オープンソースのデータ視覚化プラットフォームです。影響を受けるバージョンでは、認証されていないユーザーおよび認証されたユーザーが、リテラルパス (/dashboard/snapshot/:key、または /api/snapshots/:key) にアクセスすることで、最も低いデータベースキーでスナップショットを表示できます。スナップショット public_mode 構成設定が true (デフォルトは false) に設定されている場合、認証されていないユーザーは、リテラルパス (/api/snapshots-delete/:deleteKey) にアクセスすることで、最も低いデータベースキーでスナップショットを削除できます。スナップショット public_mode の設定に関わらず、認証されているユーザーは、リテラルパス (/api/snapshots/:key、または /api/snapshots-delete/:deleteKey) にアクセスすることで、最も低いデータベースキーでスナップショットを削除できます。削除と表示の組み合わせにより、すべてのスナップショットデータを完全にウォークスルーすることができますが、スナップショットデータは完全に失われます。この問題はバージョン8.1.6および7.5.11で解決済みです。何らかの理由でアップグレードできない場合は、リバースプロキシなどを使用して、リテラルパスへのアクセスをブロックできます。
    /api/snapshots/:key、/api/snapshots-delete/:deleteKey、/dashboard/snapshot/:key、/api/snapshots/:key。
    これらには通常の機能がなく、制度エフェクトなしに無効化できます。(CVE-2021-39226)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Rocky Linux 8grafanaRLSA-2021:3771

high Nessus プラグイン ID 157791

バージョン 1.5

バージョン 1.4

バージョン 1.5 Nov 7, 2023, 5:17 PM Detection (updated detection logic) Plugin Feed: 202311071717
バージョン 1.4 Nov 7, 2023, 3:08 PM Detection (updated detection logic) Plugin Feed: 202311071508