リモートのOracle Linux 8ホストに、ELSA-2022-1781アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - Grafanaは、監視および可観測性のためのオープンソースプラットフォームです。バージョン 8.3.2および 7.5.12より前の Grafana には、完全に小文字または完全に大文字の .md ファイルに対するディレクトリトラバーサルの脆弱性が含まれています。この脆弱性は範囲が限定されており、認証されたユーザーのみが、拡張子が .md のファイルにアクセスできます。Grafana Cloud インスタンスはこの脆弱性の影響を受けていません。ユーザーはパッチを適用したバージョン 8.3.2または 7.5.12にアップグレードする必要があります。アップグレードできないユーザーの場合、リクエストの PATH を正規化する Grafana の前でリバースプロキシを実行すると、この脆弱性が緩和されます。プロキシは、URL エンコードされたパスも処理できる必要があります。または、完全に小文字または完全に大文字の .md ファイルの場合、ユーザーは、インライン化されたプラグインヘルプテキスト以外の機能を失うことなく、/api/plugins/.*/markdown/.* をブロックできます。(CVE-2021-43813)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Oracle Linux 8：grafana (ELSA-2022-1781)

medium Nessus プラグイン ID 161284

変更ログが見つかりません