リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2023:2917-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。ビューアーロールを持つユーザーは、ユーザーパネル UI からテストアラートを送信するオプションを利用できません。API はこの関数へのアクセスをチェックしないため、ビューアーロールを持つユーザーは、API を使用してテストアラートを送信できます。
    これにより、悪意のあるユーザーがこの機能を悪用して、複数のアラートメッセージを電子メールと Slack に送信したり、ユーザーにスパムを送信したりして、フィッシング攻撃を準備したり、SMTP サーバーをブロックしたりすることが可能です。ユーザーはバージョン 9.5.3、9.4.12、9.3.15、9.2.19、8.5.26 をアップグレードして、修正を受け取ることができます。(CVE-2023-2183)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。パブリックダッシュボードを使用すると、ユーザーは混合クエリを使用して複数の異なるデータソースをクエリできます。ただし、このようなクエリでは Grfana インスタンスがクラッシュする可能性があります。現時点で混合クエリを使用する唯一の機能はパブリックダッシュボードですが、クエリ API を直接呼び出すことでこれを引き起こすことも可能です。これにより、悪意のあるユーザーがそのエンドポイントを介して Grafana インスタンスをクラッシュさせる可能性があります。ユーザーはバージョン 9.4.12および 9.5.3をアップグレードして、修正を受け取ることができます。
    (CVE-2023-2801)

  - Grafana は、メールのクレームに基づいて Azure AD アカウントを検証しています。Azure AD では、プロファイルのメールフィールドは一意ではなく、簡単に変更できます。これにより、Azure AD OAuth がマルチテナントアプリに設定されている場合、アカウント乗っ取りと認証バイパスが発生します。(CVE-2023-3128)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

SUSE SLED15/ SLES15/ openSUSE 15 セキュリティ更新: SUSE Manager Client Tools (SUSE-SU-2023:2917-1)

critical Nessus プラグイン ID 178694

バージョン 1.0