SUSE SLED15/SLES15/openSUSE 15 セキュリティ更新 : SUSE Manager Client Tools (SUSE-SU-2025:0525-1)
medium Nessus プラグイン ID 216389
Language:
概要
リモートの SUSE ホストに 1 つ以上のセキュリティ更新がありません。説明
リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2025:0525-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。dracut-saltboot はバージョン 0.1.1728559936.c16d4fb に更新されました:
- MAC ベースの端末命名オプションを追加しました (jsc#SUMA-314)
golang-github-prometheus-prometheus はバージョン 2.45.6 から 2.53.3 に更新されました (jsc#PED-11649):
- 修正されたセキュリティ問題:
* CVE-2024-51744: golang-jwt をバージョン 5.0 に更新し、不適切なエラー処理を修正 (bsc#1232970)
- その他の変更のハイライト:
* パフォーマンス:
- PromQL 実行速度、TSDB 操作 (特にクエリとコンパクション)、リモート書き込み操作の大幅な強化。
- メモリ管理を改善するために、デフォルトの GOGC 値が 75 に引き下げられました。
- ドロップされたターゲットからのメモリ使用を制限するオプションが追加されました。
* 新機能:
- 実験的な OpenTelemetry 取り込み。
- 自動メモリ制限処理。
- 新機能、UI の強化、改善されたスクレイピングを含む、ネイティブヒストグラムのサポート。
- AlertmanagerConfig のルールの再ラベル付けや新しい query_offset オプションなどの改善されたアラート機能。
- メタデータの追加と新しいサービスのサポートにより拡張されたサービス検出オプション。
- PromQL フォーマット、ラベル操作、メトリクスプッシュ、OpenMetrics ダンピング用の新しい promtool コマンド。
* バグ修正:
- スクレイピング、API、TSDB、PromQL、サービス検出にわたる多数の修正。
* 変更の詳細なリストについては、パッケージ変更ログを参照するか、https://github.com/prometheus/prometheus/compare/v2.45.6...v2.53.3
grafana はバージョン 9.5.18 から 10.4.13 に更新されました (jsc#PED-11591、jsc#PED-11649):
- 修正されたセキュリティ問題:
* CVE-2024-45337: golang.org/x/crypto をアップグレードすることで、ServerConfig.PublicKeyCallback の起こり得る誤用を防止します (bsc#1234554)
* CVE-2023-3128: Azure AD OAuth を使用する認証バイパスを修正しました (bsc#1212641)
* CVE-2023-6152: ユーザーのメールを更新する際にメール検証を追加します (bsc#1219912)
* CVE-2024-6837: 潜在的なデータソースのアクセス許可昇格を修正しました (bsc#1236301)
* CVE-2024-8118: 外部アラートルールの書き込みエンドポイントのアクセス許可を修正しました (bsc#1231024)
- バージョン 10 の潜在的な重大な変更:
* 「フィールドの抽出」変換を使用するパネルで、抽出された名前の 1 つが既存のフィールドの 1 つと競合する場合、抽出されたフィールドの名前が変更されます。
* 既存のバックエンドモードでは、テーブルの視覚化を行っているユーザーは、パネルに不一致が現れる場合があります。
テーブルの列の名前を更新しました。これは、フィールド変換やフィールドオーバーライドに影響を与える可能性があります。これを解決するには、変換を更新するか、フィールドのオーバーライドを行います。
* 既存のバックエンドモードの場合、「time」フィールドを含む変換があるユーザーは、変換が機能しない可能性があります。変換が破損しているパネルは、レンダリングに失敗します。これは、フィールドキーを変更したためです。この問題を解決するには、次のいずれかを行います。影響を受けるパネルを削除して再作成します。もう一度「Time」フィールドを選択します。「panel.json」または「dashboard.json」で、「time」フィールドを変換の「Time」として編集します
* 次のデータソースのアクセス許可のエンドポイントが削除されました。
「GET /datasources/:datasourceId/permissions」「POST /api/datasources/:datasourceId/permissions」「DELETE /datasources/:datasourceId/permissions」「POST /datasources/:datasourceId/enable-permissions」「POST /datasources/:datasourceId/disable-permissions」
- 代わりに次のエンドポイントを使用してください。
データソースのアクセス許可を一覧表示する場合は「GET /api/access-control/datasources/:uid」、データソースのアクセス許可を追加または削除する場合は「POST /api/access-control/datasources/:uid/users/:id」、「POST /api/access-control/datasources/:uid/teams/:id」、「POST /api/access-control/datasources/:uid/buildInRoles/:id」
* Terraform Grafana プロバイダーを使用してデータソースのアクセス許可を管理している場合は、プロバイダーをアップグレードする必要があります。
* 既存のバックエンドモードでは、テーブルの視覚化を行っているユーザーは、パネルに不一致が現れる場合があります。
テーブルの列の名前を更新しました。これは、フィールド変換やフィールドオーバーライドに影響を与える可能性があります。
* 非推奨の「/playlists/{uid}/dashboards」API エンドポイントが削除されました。
ダッシュボード情報は、「/dashboard/...」API から取得できます。
* 「PUT /api/folders/:uid」エンドポイントは、フォルダーの「UID」の変更をサポートしなくなりました
* 古いパネルヘッダーデザインからすべてのコンポーネントを削除しました。
* 詳細については、https://grafana.com/docs/grafana/next/breaking-changes/breaking-changes-v10-3/for を確認してください
* OAuth ロールマッピングの強制: この変更は GitHub、Gitlab、Okta、Generic OAuth に影響します。手動で設定されたロールのオーバーライドを回避するには、アップグレードの前に OAuth プロバイダーの Grafana 設定の skip_org_role_sync オプションを有効にします
* Angular は廃止されました
* Grafana のレガシーアラートが廃止されました
* API キーは、サービスアカウントに移行しています
* 実験的なダッシュボードプレビュー機能が削除されています
* ユーザー名はデフォルトで大文字と小文字を区別しません
* Grafana OAuth 統合がメール検索で動作しなくなりました
* CloudWatch データソースの [エイリアス] フィールドが削除されました
* Athena データソースプラグインは、バージョン 2.9.3 以上に更新する必要があります
* Redshift データソースプラグインは、バージョン 1.8.3 以上に更新する必要があります
* DoiT International BigQuery プラグインは現在サポートされなくなりました
* 詳細については、https://grafana.com/docs/grafana/next/breaking-changes/breaking-changes-v10-0for を確認してください
- この更新により、多くの新機能、拡張機能、修正が提供されます (以下で説明されています):
* https://grafana.com/docs/grafana/next/whatsnew/whats-new-in-v10-4/* https://grafana.com/docs/grafana/next/whatsnew/whats-new-in-v10-3/* https://grafana.com/docs/grafana/next/whatsnew/whats-new-in-v10-2/* https://grafana.com/docs/grafana/next/whatsnew/whats-new-in-v10-1/* https://grafana.com/docs/grafana/next/whatsnew/whats-new-in-v10-0/:
spacecmd がバージョン 5.0.11-0 に更新されました:
- 翻訳文字列が更新されました
supportutils-plugin-salt がバージョン 1.2.3 に更新されました:
- supportutils 3.2.9 リリースとの互換性を確保するためにプラグインの要件が調整されました (bsc#1235145)
- 後方互換性のあるスクリプトバージョンを提供します
supportutils-plugin-susemanager-client がバージョン 5.0.4-0 に更新されました:
- supportutils 3.2.9 リリースとの互換性を確保するためにプラグインの要件が調整されました (bsc#1235145)
uyuni-tools がバージョン 0.1.23-0 から 0.1.27-0 に更新されました:
- 修正されたセキュリティ問題:
* CVE-2024-22037: podman シークレットを使用して、データベース認証情報を保存します (bsc#1231497)
Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
影響を受けるパッケージを更新してください。参考資料
https://bugzilla.suse.com/1212641
https://bugzilla.suse.com/1219912
https://bugzilla.suse.com/1229079
https://bugzilla.suse.com/1229104
https://bugzilla.suse.com/1231024
https://bugzilla.suse.com/1231497
https://bugzilla.suse.com/1231568
https://bugzilla.suse.com/1231759
https://bugzilla.suse.com/1232575
https://bugzilla.suse.com/1232769
https://bugzilla.suse.com/1232817
https://bugzilla.suse.com/1232970
https://bugzilla.suse.com/1233202
https://bugzilla.suse.com/1233279
https://bugzilla.suse.com/1233630
https://bugzilla.suse.com/1233660
https://bugzilla.suse.com/1234123
https://bugzilla.suse.com/1234554
https://bugzilla.suse.com/1235145
https://bugzilla.suse.com/1236301
http://www.nessus.org/u?c31cffda
https://www.suse.com/security/cve/CVE-2023-3128
https://www.suse.com/security/cve/CVE-2023-6152
https://www.suse.com/security/cve/CVE-2024-22037
https://www.suse.com/security/cve/CVE-2024-45337
https://www.suse.com/security/cve/CVE-2024-51744
プラグインの詳細
深刻度: Medium
ID: 216389
ファイル名: suse_SU-2025-0525-1.nasl
バージョン: 1.2
タイプ: local
エージェント: unix
ファミリー: SuSE Local Security Checks
公開日: 2025/2/17
更新日: 2025/2/19
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 6.7
CVSS v2
リスクファクター: Critical
基本値: 10
現状値: 7.8
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS スコアのソース: CVE-2023-3128
CVSS v3
リスクファクター: Critical
基本値: 9.8
現状値: 8.8
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
CVSS v4
リスクファクター: Medium
Base Score: 5.7
Threat Score: 4.7
Threat Vector: CVSS:4.0/E:P
Vector: CVSS:4.0/AV:L/AC:L/AT:P/PR:L/UI:N/VC:H/VI:N/VA:N/SC:L/SI:L/SA:L
CVSS スコアのソース: CVE-2024-22037
脆弱性情報
CPE: p-cpe:/a:novell:suse_linux:golang-github-prometheus-promu, p-cpe:/a:novell:suse_linux:supportutils-plugin-salt, cpe:/o:novell:suse_linux:15
必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/SuSE/release, Host/SuSE/rpm-list
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2025/2/14
脆弱性公開日: 2023/6/22
参照情報
CVE: CVE-2023-3128, CVE-2023-6152, CVE-2024-22037, CVE-2024-45337, CVE-2024-51744, CVE-2024-6837, CVE-2024-8118
SuSE: SUSE-SU-2025:0525-1