FreeBSD: Grafana -- TraceView パネルの蓄積型 XSS (e7841611-b808-11ed-b695-6c3be5272acd)

medium Nessus プラグイン ID 184461

Language:

概要

リモートの FreeBSD ホストに 1 つ以上のセキュリティ関連の更新プログラムがありません。

説明

リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、e7841611-b808-11ed-b695-6c3be5272acdのアドバイザリに記載されている脆弱性の影響を受けます。

- Grafana は、監視および可観測性のためのオープンソースプラットフォームです。7.0ブランチから、Grafana にはトレースビューの可視化において、蓄積型 XSS の脆弱性がありました。スパンの属性/リソースの値が適切にサニタイズされず、スパンの属性/リソースが拡張されたときにレンダリングされるため、蓄積型 XSS の脆弱性の可能性がありました。トレースビューの可視化の値を変更して JavaScript を含めるには、攻撃者が編集者ロールを持っている必要があります。これは、垂直権限昇格が可能であることを意味します。ここで、管理者ロールを持つユーザーが、ダッシュボードを表示する悪意のある JavaScript を実行すると、編集者ロールを持つユーザーが既知のパスワードに変更される可能性があります。ユーザーは、バージョン 8.5.21、9.2.13、または 9.3.8 にアップグレードして修正を受け取ることができます。(CVE-2023-0594)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。