SUSE SLED15 / SLES15 / openSUSE 15 セキュリティ更新: grafana (SUSE-SU-2022:4428-1)
critical Nessus プラグイン ID 168719
Language:
概要
リモートの SUSE ホストに 1 つ以上のセキュリティ更新がありません。説明
リモートの SUSE Linux SLED15 / SLES15 / openSUSE 15 ホストには、SUSE-SU-2022:4428-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。-1.18.4より前および1.19.2より前の1.19.xのMIT Kerberos 5 (別名krb5) のKey Distribution Center (KDC) におけるkdc/kdc_preauth_ec.cのec_verifyにより、リモートの攻撃者はNULLポインターデリファレンスおよびデーモンのクラッシュを引き起こすことができます。これは、特定の状況で戻り値が適切に管理されないことが原因で発生します。(CVE-2021-36222)
-SM2暗号化データを復号するには、アプリケーションがAPI関数EVP_PKEY_decrypt()を呼び出す必要があります。通常、アプリケーションはこの関数を2回呼び出します。初回の入力時点ではoutパラメーターはNULLにできます。また終了時点でoutlenパラメーターには、復号された平文を保持するために必要なバッファサイズでデータが投入されます。その後、アプリケーションは十分なサイズのバッファを割り振り、EVP_PKEY_decrypt()を再び呼び出すことができますが、今回、outパラメーターにNULL以外の値が渡されました。SM2復号化コードの実装におけるバグにより、EVP_PKEY_decrypt()の初回呼び出しに必要な平文を保持するために求められるバッファサイズの計算が、2回目の呼び出しで必要となる実際のサイズよりも小さくなることがあります。これにより、アプリケーションがEVP_PKEY_decrypt()を2回目に呼び出すときにバッファが小さすぎるため、バッファオーバーフローが引き起こされる可能性があります。アプリケーションに対して復号化するためのSM2コンテンツを提示できる悪意のある攻撃者は、選択したデータに関してバッファを最大62バイトまでオーバーフローさせ、バッファ後に保持される他のデータコンテンツを変更することができます。それにより、アプリケーションの動作が変更されたり、アプリケーションがクラッシュされたりする可能性があります。バッファの場所はアプリケーションによって異なりますが、通常はヒープに割り当てられます。OpenSSL 1.1.1l で修正されました (1.1.1-1.1.1k が影響を受けます)。
(CVE-2021-3711)
- Grafana は、監視および可観測性のためのオープンソースプラットフォームです。影響を受けるバージョンでは、攻撃者が被害者に、脆弱なページを参照している URL にアクセスするよう誘導することができる場合、任意の JavaScript コンテンツが被害者のブラウザのコンテキスト内で実行される可能性があります。悪意のあるリンクにアクセスするユーザーは認証されていない必要があり、リンクはメニューバーのログインボタンを含むページに対するものである必要があります。AngularJS レンダリングを悪用し、AngularJS 式の補間バインディングを含めるために、URL を細工する必要があります。AngularJS は、補間バインディングに二重中括弧を使用しています：{{}}例：
{{constructor.constructor(alert(1)')()}}。ユーザーがリンクをたどり、ページがレンダリングされると、ログインボタンに、ログインページへのリダイレクトを強制するクエリパラメーターのある元のリンクが含まれます。URL は検証されず、AngularJS レンダリングエンジンは URL に含まれる JavaScript 式を実行します。ユーザーは、至急アップグレードすることが勧められています。何らかの理由でアップグレードできない場合は、リバースプロキシなどを使用して、パスのリテラルストリング {{ へのアクセスをブロックできます。
(CVE-2021-41174)
- Grafana は、監視および可観測性のためのオープンソースプラットフォームです。影響を受けるバージョンでは、きめ細かいアクセスコントロールのベータ機能が有効で、Grafana インスタンスに複数の組織がある場合、管理者は他の組織のユーザーにアクセスできます。Grafana 8.0では、Organization Admin ロールを持つユーザーが、自分が管理者でない他の組織のユーザーのロールを一覧表示、追加、削除、更新できるメカニズムを導入しました。粒度の細かいアクセスコントロールを有効にすると、組織管理者は、組織管理者ロールのない別の組織のユーザーのロールを一覧表示、追加、削除、更新できます。粒度の細かいアクセスコントロールのベータが有効になっていて、複数の組織がいる v8.0 と v8.2.3 の間のすべてのインストールは、できるだけ早くアップグレードする必要があります。アップグレードできない場合は、機能フラグを使用して、粒度の細かいアクセスコントロールをオフにする必要があります。(CVE-2021-41244)
- Grafana は、監視および可観測性のためのオープンソースプラットフォームです。Grafana バージョン 8.0.0-beta1 から 8.3.0(パッチを適用したバージョンは除く) は、ディレクトリトラバーサルに対して脆弱であり、ローカルファイルへのアクセスを許可します。
脆弱な URL パスは次のとおりです。「<grafana_host_url>/public/plugins//」はインストールされているプラグインのプラグイン ID です。Grafana Cloud が脆弱になったことは一度もありません。ユーザーはパッチを適用したバージョン 8.0.7、8.1.8、8.2.7、または 8.3.1にアップグレードすることが勧められています。GitHub セキュリティアドバイザリには、脆弱な URL パス、緩和策、および漏洩のタイムラインに関する詳細情報が含まれています。(CVE-2021-43798)
- Grafana は、監視および可観測性のためのオープンソースプラットフォームです。バージョン 8.3.2および 7.5.12より前の Grafana には、完全に小文字または完全に大文字の .md ファイルに対するディレクトリトラバーサルの脆弱性が含まれています。この脆弱性は範囲が限定されており、認証されたユーザーのみが、拡張子が .md のファイルにアクセスできます。Grafana Cloud インスタンスはこの脆弱性の影響を受けていません。ユーザーはパッチを適用したバージョン 8.3.2または 7.5.12にアップグレードする必要があります。アップグレードできないユーザーの場合、リクエストの PATH を正規化する Grafana の前でリバースプロキシを実行すると、この脆弱性が緩和されます。プロキシは、URL エンコードされたパスも処理できる必要があります。または、完全に小文字または完全に大文字の .md ファイルの場合、ユーザーは、インライン化されたプラグインヘルプテキスト以外の機能を失うことなく、/api/plugins/.*/markdown/.* をブロックできます。(CVE-2021-43813)
- Grafana は、監視および可観測性のためのオープンソースプラットフォームです。バージョン 8.3.2および 7.5.12より前の Grafana には、任意の .csv ファイルに対するディレクトリトラバーサルがあります。これは、TestData DB データソースと呼ばれる開発者用テストツールが有効化され、構成されているインスタンスにのみ影響します。この脆弱性は範囲が限定されており、認証されたユーザーのみが、拡張子が .csv のファイルにアクセスできます。Grafana Cloud インスタンスはこの脆弱性の影響を受けていません。バージョン 8.3.2および 7.5.12には、この問題に対するパッチが含まれています。アップグレードできないユーザーが利用できる回避策があります。リクエストの PATH を正規化する Grafana の前でリバースプロキシを実行すると、この脆弱性が緩和されます。プロキシは、URL エンコードされたパスも処理できる必要があります。(CVE-2021-43815)
- Grafana は、監視および可観測性のためのオープンソースプラットフォームです。Grafana Enterprise では、リクエストセキュリティ機能により、インスタンスが特定のホストを呼び出さないように、または特定のホストのみを呼び出すように Grafana を構成できます。7.4.0-beta1 で始まり、バージョン 7.5.16 および 8.5.3より前のバージョンの脆弱性により、(許可されたホストで実行されている) 悪意のあるデータソースが禁止されたホストに HTTP リダイレクトを返す場合、誰かがこれらのセキュリティ構成をバイパスする可能性があります。この脆弱性は、リクエストセキュリティ許可リストが使用され、HTTP リダイレクトを返すカスタムデータソースを Grafana に追加する可能性がある場合にのみ、Grafana Enterprise に影響を与えます。このシナリオでは、Grafana は盲目的にリダイレクトに従い、安全な情報をクライアントに提供する可能性があります。Grafana Cloud はこの脆弱性の影響を受けません。バージョン 7.5.16および 8.5.3には、この問題に対するパッチが含まれています。現在、既知の回避策はありません。(CVE-2022-29170)
- Grafana は、監視および可観測性のためのオープンソースプラットフォームです。9.0.3、8.5.9、8.4.10、および 8.3.10より前の 8.xおよび 9.xブランチのバージョンは、Grafana の統合アラート機能を介して、保存されているクロスサイトスクリプティングに対して脆弱です。攻撃者がこの脆弱性を悪用し、認証された管理者を騙してリンクをクリックさせることで、権限を編集者から管理者に昇格させる可能性があります。バージョン 9.0.3、8.5.9、8.4.10、8.3.10 にはパッチが含まれています。回避策として、アラートを無効にするか、レガシーアラートを使用することができます。
(CVE-2022-31097)
- Grafana は、監視および可観測性のためのオープンソースプラットフォームです。9.0.3、8.5.9、8.4.10、8.3.10 までのバージョン 5.3では、認証されている悪意のあるユーザーが、ログイン名を提供する構成済みの OAuth IdP を介して Grafana インスタンスにログインし、その Grafana インスタンスの別のユーザーのアカウントを乗っ取る可能性があります。悪意のあるユーザーが OAuth 経由で Grafana へのログインを承認され、悪意のあるユーザーの外部ユーザー ID が Grafana のアカウントに関連付けられておらず、悪意のあるユーザーのメールアドレスがGrafanaのアカウントに関連付けられておらず、悪意のあるユーザーがターゲットユーザーの Grafana ユーザー名を知っている場合に、これが発生する可能性があります。これらの条件が満たされた場合、悪意のあるユーザーが OAuth プロバイダーのユーザー名をターゲットユーザーのユーザー名に設定し、OAuth フローを通過して Grafana にログインする可能性があります。上記の条件がすべて満たされている場合、ログイン中に外部ユーザーアカウントと内部ユーザーアカウントがリンクされる方法が原因で、悪意のあるユーザーがターゲットユーザーの Grafana アカウントにログインする可能性があります。バージョン 9.0.3、8.5.9、8.4.10、8.3.10 には、この問題に対するパッチが含まれています。回避策として、関係するユーザーは Grafana インスタンスへの OAuth ログインを無効にするか、OAuth 経由でログインする権限があるすべてのユーザーに、対応する Grafana のユーザーアカウントをメールアドレスにリンクさせることができます。
(CVE-2022-31107)
- Grafana は、監視および可観測性のためのオープンソースプラットフォームです。9.1.6 および 8.5.13より前のバージョンは、認証プロキシが使用されている場合、管理者からサーバー管理者への昇格に対して脆弱です。これにより、管理者がサーバー管理者アカウントを乗っ取り、grafana インスタンスを完全にコントロールできるようになります。すべてのインストールは、できるだけ早くアップグレードする必要があります。回避策として、次の URL の指示に従って auth プロキシを非アクティブ化してください。
https://grafana.com/docs/grafana/latest/setup-grafana/configure-security/configure-authentication/auth-proxy/ (CVE-2022-35957)
- Grafana は、監視および可観測性のためのオープンソースプラットフォームです。8.5.13、9.0.9、および 9.1.6より前のバージョンでは、Grafana が権限の不適切な保存の影響を受け、一部のフォルダで権限昇格が発生し、Admin のみが使用する権限を取得します。この脆弱性は、RBAC を無効化し、その後に有効化した Grafana インスタンスに影響を与えます。というのも、従来のフォルダ権限を RBAC の権限に変換する移行では、フォルダ内の唯一のユーザー権限が Admin であるシナリオが考慮されていないからです。その結果、RBAC は Editor と Viewer に対して、フォルダの編集と閲覧を可能にする権限を追加します。この問題には、バージョン 8.5.13、9.0.9 および 9.1.6でパッチが適用されています。影響を受けるフォルダ/ダッシュボードが判明している場合の回避策は、追加の権限を手動で削除することです。
(CVE-2022-36062)
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。
ソリューション
影響を受ける grafana パッケージを更新してください。参考資料
https://bugzilla.suse.com/1188571
https://bugzilla.suse.com/1189520
https://bugzilla.suse.com/1192383
https://bugzilla.suse.com/1192763
https://bugzilla.suse.com/1193492
https://bugzilla.suse.com/1193686
https://bugzilla.suse.com/1199810
https://bugzilla.suse.com/1201535
https://bugzilla.suse.com/1201539
https://bugzilla.suse.com/1203596
https://bugzilla.suse.com/1203597
https://www.suse.com/security/cve/CVE-2021-36222
https://www.suse.com/security/cve/CVE-2021-3711
https://www.suse.com/security/cve/CVE-2021-41174
https://www.suse.com/security/cve/CVE-2021-41244
https://www.suse.com/security/cve/CVE-2021-43798
https://www.suse.com/security/cve/CVE-2021-43813
https://www.suse.com/security/cve/CVE-2021-43815
https://www.suse.com/security/cve/CVE-2022-29170
https://www.suse.com/security/cve/CVE-2022-31097
https://www.suse.com/security/cve/CVE-2022-31107
https://www.suse.com/security/cve/CVE-2022-35957
プラグインの詳細
深刻度: Critical
ID: 168719
ファイル名: suse_SU-2022-4428-1.nasl
バージョン: 1.8
タイプ: local
エージェント: unix
ファミリー: SuSE Local Security Checks
公開日: 2022/12/14
更新日: 2024/2/16
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 6.7
CVSS v2
リスクファクター: High
基本値: 7.5
現状値: 6.2
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P
CVSS スコアのソース: CVE-2021-3711
CVSS v3
リスクファクター: Critical
基本値: 9.8
現状値: 9.1
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:F/RL:O/RC:C
脆弱性情報
CPE: p-cpe:/a:novell:suse_linux:grafana, cpe:/o:novell:suse_linux:15
必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/SuSE/release, Host/SuSE/rpm-list
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2022/12/13
脆弱性公開日: 2021/7/22
エクスプロイト可能
CANVAS (CANVAS)
参照情報
CVE: CVE-2021-36222, CVE-2021-3711, CVE-2021-41174, CVE-2021-41244, CVE-2021-43798, CVE-2021-43813, CVE-2021-43815, CVE-2022-29170, CVE-2022-31097, CVE-2022-31107, CVE-2022-35957, CVE-2022-36062
IAVB: 2023-B-0087-S
SuSE: SUSE-SU-2022:4428-1