Rocky Linux 8grafanaRLSA-2022:7519

high Nessus プラグイン ID 167790

Language:

概要

リモートの Rocky Linux ホストに、1 つ以上のセキュリティ更新がありません。

説明

リモートのRocky Linux 8ホストには、RLSA-2022:7519アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

- Grafana は、監視および可観測性のためのオープンソースプラットフォームです。影響を受けるバージョンは、クロスサイトリクエストフォージェリの脆弱性の対象です。これにより、攻撃者は、認証された強い権限の Grafana ユーザー (たとえば、編集者や管理者)に対してクロスオリジン攻撃を仕掛けることにより、権限を昇格できます。
攻撃者は権限昇格に関するこの脆弱性を悪用し、認証されたユーザーを騙して、強い権限を持つ新しいユーザーとして攻撃者を招待する可能性があります。ユーザーは、至急アップグレードすることが勧められています。この問題についての既知の回避策はありません。(CVE-2022-21703)

- 6.0.0より前の @braintree/sanitize-url パッケージは、sanitizeUrl 関数での不適切なサニタイズにより、クロスサイトスクリプティング (XSS) に対して脆弱です。(CVE-2021-23648)

- Grafana は、監視および可観測性のためのオープンソースプラットフォームです。影響を受けるバージョンでは、データソースで Forward OAuth Identity 機能が有効になっている場合、API トークン (他のユーザー認証情報なし)でそのデータソースに対してクエリを送信すると、最後にログインしたユーザーの OAuth Identity が転送されます。
これにより、API トークン保有者は、意図されたアクセス権がないデータを取得する可能性があります。この攻撃は、Forward OAuth Identity 機能をサポートするデータソースを持つ Grafana インスタンス、Forward OAuth Identity 機能がオンに切り替えられたデータソースを持つ Grafana インスタンス、OAuth が有効な Grafana インスタンス、および使用可能な API キーを持つ Grafana インスタンスに依存しています。この問題には、バージョン 7.5.13および 8.3.4でパッチが適用されています。(CVE-2022-21673)

- Grafana は、監視および可観測性のためのオープンソースプラットフォームです。影響を受けるバージョンでは、攻撃者が Grafana データソースまたはプラグインプロキシを通じて HTML コンテンツを提供し、特別に細工されたリンクを使用してユーザーを騙してこの HTML ページにアクセスさせ、クロスサイトスクリプティング (XSS)攻撃を実行する可能性があります。攻撃者は、特定の Grafana インスタンスの既存のデータソースを侵害するか、独自のパブリックサービスを設定し、誰かに Grafana インスタンスで設定するように命令する可能性があります。影響を受けるのは、以下のすべてが該当する場合です。データソースプロキシの場合、Server Access Mode で構成され、URL セットで構成された Grafana HTTP ベースのデータソース、攻撃者は、上記のデータソースの URL を提供する HTTP サーバー、および攻撃者を標的とする特別に細工されたリンクをコントロールできる必要があります。制御されたデータソースは、認証されたユーザーによってクリックされる必要があります。プラグインプロキシの場合、URL セットで構成および有効化される Grafana HTTP ベースのアプリのプラグイン。攻撃者は上記のアプリの URL を提供する HTTP サーバーをコントロールできる必要があり、攻撃者が制御するプラグインを指し示す特別に細工されたリンクがある必要があります。認証されたユーザーによりクロックオンされるようになります。バックエンドプラグインリソースの場合: 攻撃者は、細工されたリンクを介して、認証されたユーザーを侵害されたプラグインに移動できる必要があります。ユーザーは、パッチを適用したバージョンに更新することが推奨されています。この脆弱性に対する既知の回避策はありません。(CVE-2022-21702)

- Grafana は、監視および可観測性のためのオープンソースプラットフォームです。Grafanaの影響を受けるバージョンは、ユーザー認証を適切に処理しない複数のAPIエンドポイントがあります。「/teams/:teamId」により、認証された攻撃者が、特定のチーム ID をクエリすることで、意図されていないデータを表示することが可能になります。「/teams/:search」により、認証された攻撃者が、チームを検索し、利用可能なチームの総数を確認することが可能です。ユーザーがアクセスできないチーム、および「/teams/:teamId/members」に対して、editors_can_adminフラグが有効な場合、認証された攻撃者は、特定のチームIDをクエリすることで、意図しないデータを見ることができます。
ユーザーは、至急アップグレードすることが勧められています。この問題についての既知の回避策はありません。
(CVE-2022-21713)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。