RHEL 9: grafana (RHSA-2022: 8057)

high Nessus プラグイン ID 167570

Language:

概要

リモートの Red Hat ホストに 1 つ以上のセキュリティ更新プログラムがありません。

説明

リモートの Redhat Enterprise Linux 9 ホストにインストールされているパッケージは、RHSA-2022: 8057 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

- sanitize-url: sanitizeUrl 関数の不適切なサニタイズによる XSS (CVE-2021-23648)

- Go 1.17.12および Go 1.18.4より前に net/http の HTTP/1 クライアントで無効な Transfer-Encoding ヘッダーを受け入れると、ヘッダーを無効として不適切に拒否する中間サーバーと組み合わせた場合に、HTTP リクエストスマグリングが可能になります。(CVE-2022-1705)

-Go 1.17.12 および Go 1.18.4 より前の go/parser の Parse 関数における制御されない再帰により、攻撃者が、深くネストされた型または宣言を介して、スタック枯渇によりパニックを引き起こす可能性があります。(CVE-2022-1962)

- grafana: Forward OAuth Identity Token により、ユーザーは一部のデータソースにアクセスできる場合があります (CVE-2022-21673)

- client_golang は、Prometheus の Go アプリケーション用のインストルメンテーションライブラリであり、client_golang の promhttp パッケージは、HTTP サーバーおよびクライアントに関連するツールを提供します。バージョン 1.11.1より前の client_golang では、HTTP サーバーは、非標準の HTTP メソッドでリクエストを処理する際に、無制限のカーディナリティによる潜在的なサービス拒否やメモリ枯渇の可能性があります。影響を受けるのは、インストルメント化されたソフトウェアは「RequestsInFlight」を除く「promhttp.InstrumentHandler *」ミドルウェアのいずれかを使用する場合です。
ミドルウェアの前に特定のメソッド (例:GET) をフィルタリングせず、「method」ラベル名のメトリクスをミドルウェアに渡し、不明な「メソッド」を持つリクエストをフィルタリングする firewall/LB/proxy がありません。
client_golang バージョン 1.11.1には、この問題のパッチが含まれています。いくつかの回避策が利用可能です。これには、InstrumentHandler で使用されるカウンター/ゲージからの「メソッド」ラベル名の削除が含まれます。影響を受ける promhttp ハンドラーをオフにします。Promhttp ハンドラーの前にカスタムミドルウェアを追加し、Go http.Request によって指定されたリクエストメソッドをサニタイズします。リバースプロキシまたは Web アプリケーションファイヤーウォールを使用し、一部のメソッドのみを許可するように構成されています。(CVE-2022-21698)

- grafana: データソース処理における XSS の脆弱性 (CVE-2022-21702)

- grafana：CSRF の脆弱性により、権限昇格につながる可能性があります (CVE-2022-21703)

- grafana：IDOR の脆弱性により、情報漏洩が発生する可能性があります (CVE-2022-21713)

- Go 1.17.12および Go 1.18.4より前の encoding/xml の Decoder.Skip の制御されない再帰により、深くネスト化された XML ドキュメントを介してスタックの枯渇により攻撃者がパニックを引き起こす可能性があります。(CVE-2022-28131)

- Go 1.17.12および Go 1.18.4より前の io/fs における Glob の制御されない再帰により、攻撃者が、多数のパスセパレーターを含むパスを介して、スタック枯渇によりパニックを引き起こす可能性があります。
(CVE-2022-30630)

- Go 1.17.12および Go 1.18.4の前の compress/gzip の Reader.Read における制御されない再帰により、攻撃者が、多数の連結された長さゼロの圧縮ファイルを含むアーカイブを介して、スタック枯渇によりパニックを引き起こす可能性があります。(CVE-2022-30631)

- Go 1.17.12および Go 1.18.4より前の path/filepath における Glob の制御されない再帰により、攻撃者が、多数のパスセパレーターを含むパスを介して、スタック枯渇によりパニックを引き起こす可能性があります。
(CVE-2022-30632)

- Go 1.17.12および Go 1.18.4の前の encoding/xml の Unmarshal における制御されない再帰により、攻撃者は、「any」フィールドタグを使用するネスト化されたフィールドを持つ Go 構造体に XML ドキュメントをアンマーシャリングすることで、スタック枯渇によりパニックを引き起こす可能性があります。(CVE-2022-30633)

- Go 1.17.12および Go 1.18.4より前の encoding/gob の Decoder.Decode の制御されない再帰により、深くネスト化された構造を含むメッセージを介して、スタック枯渇により攻撃者がパニックを引き起こす可能性があります。
(CVE-2022-30635)

- Go 1.17.12および Go 1.18.4の前の net/http でのクライアント IP アドレスの不適切な漏洩は、X-Forwarded-For ヘッダーの nil 値を含む Request.Header マップで httputil.ReverseProxy.ServeHTTP を呼び出すことで発生する可能性があります。これにより、クライアント IP を X-Forwarded-For ヘッダーの値として設定するための ReverseProxy が発生します。(CVE-2022-32148)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ソリューション

影響を受ける grafana パッケージを更新してください。

参考資料

http://www.nessus.org/u?1f1eb6cc

http://www.nessus.org/u?428bdbfc

https://access.redhat.com/security/updates/classification/#important

https://access.redhat.com/errata/RHSA-2022:8057

https://bugzilla.redhat.com/show_bug.cgi?id=2044628

https://bugzilla.redhat.com/show_bug.cgi?id=2045880

https://bugzilla.redhat.com/show_bug.cgi?id=2050648

https://bugzilla.redhat.com/show_bug.cgi?id=2050742

https://bugzilla.redhat.com/show_bug.cgi?id=2050743

https://bugzilla.redhat.com/show_bug.cgi?id=2055349

https://bugzilla.redhat.com/show_bug.cgi?id=2065290

https://bugzilla.redhat.com/show_bug.cgi?id=2104367

https://bugzilla.redhat.com/show_bug.cgi?id=2107342

https://bugzilla.redhat.com/show_bug.cgi?id=2107371

https://bugzilla.redhat.com/show_bug.cgi?id=2107374

https://bugzilla.redhat.com/show_bug.cgi?id=2107376

https://bugzilla.redhat.com/show_bug.cgi?id=2107383

https://bugzilla.redhat.com/show_bug.cgi?id=2107386

https://bugzilla.redhat.com/show_bug.cgi?id=2107388

https://bugzilla.redhat.com/show_bug.cgi?id=2107390

https://bugzilla.redhat.com/show_bug.cgi?id=2107392

プラグインの詳細

深刻度: High

ID: 167570

ファイル名: redhat-RHSA-2022-8057.nasl

バージョン: 1.6

タイプ: local

エージェント: unix

ファミリー: Red Hat Local Security Checks

公開日: 2022/11/15

更新日: 2024/4/28

サポートされているセンサー: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Nessus