SUSE SLES15/openSUSE 15 セキュリティ更新: grafana (SUSE-SU-2025:0545-1)
low Nessus プラグイン ID 216397
Language:
概要
リモートの SUSE ホストに 1 つ以上のセキュリティ更新がありません。説明
リモートの SUSE Linux SLES15 / openSUSE 15 ホストには、SUSE-SU-2025:0545-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。grafana はバージョン 9.5.18 から 10.4.13 に更新されました (jsc#PED-11591、jsc#PED-11649):
- 修正されたセキュリティ問題:
* CVE-2024-45337: golang.org/x/crypto をアップグレードすることで、ServerConfig.PublicKeyCallback の起こり得る誤用を防止します (bsc#1234554)
* CVE-2023-3128: Azure AD OAuth を使用する認証バイパスを修正しました (bsc#1212641)
* CVE-2023-6152: ユーザーのメールを更新する際にメール検証を追加します (bsc#1219912)
* CVE-2024-6837: 潜在的なデータソースのアクセス許可昇格を修正しました (bsc#1236301)
* CVE-2024-8118: 外部アラートルールの書き込みエンドポイントのアクセス許可を修正しました (bsc#1231024)
- バージョン 10 の潜在的な重大な変更:
* 「フィールドの抽出」変換を使用するパネルで、抽出された名前の 1 つが既存のフィールドの 1 つと競合する場合、抽出されたフィールドの名前が変更されます。
* 既存のバックエンドモードでは、テーブルの視覚化を行っているユーザーは、パネルに不一致が現れる場合があります。
テーブルの列の名前を更新しました。これは、フィールド変換やフィールドオーバーライドに影響を与える可能性があります。これを解決するには、変換を更新するか、フィールドのオーバーライドを行います。
* 既存のバックエンドモードの場合、「time」フィールドを含む変換があるユーザーは、変換が機能しない可能性があります。変換が破損しているパネルは、レンダリングに失敗します。これは、フィールドキーを変更したためです。この問題を解決するには、次のいずれかを行います。影響を受けるパネルを削除して再作成します。もう一度「Time」フィールドを選択します。「panel.json」または「dashboard.json」で、「time」フィールドを変換の「Time」として編集します
* 次のデータソースのアクセス許可のエンドポイントが削除されました。
「GET /datasources/:datasourceId/permissions」「POST /api/datasources/:datasourceId/permissions」「DELETE /datasources/:datasourceId/permissions」「POST /datasources/:datasourceId/enable-permissions」「POST /datasources/:datasourceId/disable-permissions」
- 代わりに次のエンドポイントを使用してください。
データソースのアクセス許可を一覧表示する場合は「GET /api/access-control/datasources/:uid」、データソースのアクセス許可を追加または削除する場合は「POST /api/access-control/datasources/:uid/users/:id」、「POST /api/access-control/datasources/:uid/teams/:id」、「POST /api/access-control/datasources/:uid/buildInRoles/:id」
* Terraform Grafana プロバイダーを使用してデータソースのアクセス許可を管理している場合は、プロバイダーをアップグレードする必要があります。
* 既存のバックエンドモードでは、テーブルの視覚化を行っているユーザーは、パネルに不一致が現れる場合があります。
テーブルの列の名前を更新しました。これは、フィールド変換やフィールドオーバーライドに影響を与える可能性があります。
* 非推奨の「/playlists/{uid}/dashboards」API エンドポイントが削除されました。
ダッシュボード情報は、「/dashboard/...」API から取得できます。
* 「PUT /api/folders/:uid」エンドポイントは、フォルダーの「UID」の変更をサポートしなくなりました
* 古いパネルヘッダーデザインからすべてのコンポーネントを削除しました。
* 詳細については、https://grafana.com/docs/grafana/next/breaking-changes/breaking-changes-v10-3/for を確認してください
* OAuth ロールマッピングの強制: この変更は GitHub、Gitlab、Okta、Generic OAuth に影響します。手動で設定されたロールのオーバーライドを回避するには、アップグレードの前に OAuth プロバイダーの Grafana 設定の skip_org_role_sync オプションを有効にします
* Angular は廃止されました
* Grafana のレガシーアラートが廃止されました
* API キーは、サービスアカウントに移行しています
* 実験的なダッシュボードプレビュー機能が削除されています
* ユーザー名はデフォルトで大文字と小文字を区別しません
* Grafana OAuth 統合がメール検索で動作しなくなりました
* CloudWatch データソースの [エイリアス] フィールドが削除されました
* Athena データソースプラグインは、バージョン 2.9.3 以上に更新する必要があります
* Redshift データソースプラグインは、バージョン 1.8.3 以上に更新する必要があります
* DoiT International BigQuery プラグインは現在サポートされなくなりました
* 詳細については、https://grafana.com/docs/grafana/next/breaking-changes/breaking-changes-v10-0for を確認してください
- この更新により、多くの新機能、拡張機能、修正が提供されます (以下で説明されています):
* https://grafana.com/docs/grafana/next/whatsnew/whats-new-in-v10-4/* https://grafana.com/docs/grafana/next/whatsnew/whats-new-in-v10-3/* https://grafana.com/docs/grafana/next/whatsnew/whats-new-in-v10-2/* https://grafana.com/docs/grafana/next/whatsnew/whats-new-in-v10-1/* https://grafana.com/docs/grafana/next/whatsnew/whats-new-in-v10-0/
Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
影響を受ける grafana パッケージを更新してください。参考資料
https://bugzilla.suse.com/1212641
https://bugzilla.suse.com/1219912
https://bugzilla.suse.com/1231024
https://bugzilla.suse.com/1234554
https://bugzilla.suse.com/1236301
http://www.nessus.org/u?14eb4367
https://www.suse.com/security/cve/CVE-2023-3128
https://www.suse.com/security/cve/CVE-2023-6152
https://www.suse.com/security/cve/CVE-2024-45337
プラグインの詳細
深刻度: Low
ID: 216397
ファイル名: suse_SU-2025-0545-1.nasl
バージョン: 1.3
タイプ: local
エージェント: unix
ファミリー: SuSE Local Security Checks
公開日: 2025/2/17
更新日: 2025/6/5
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 6.0
CVSS v2
リスクファクター: Critical
基本値: 10
現状値: 7.8
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS スコアのソース: CVE-2023-3128
CVSS v3
リスクファクター: Critical
基本値: 9.8
現状値: 8.8
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
CVSS v4
リスクファクター: Low
Base Score: 2
Threat Score: 2
Threat Vector: CVSS:4.0/E:P
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N
CVSS スコアのソース: CVE-2024-8118
脆弱性情報
CPE: p-cpe:/a:novell:suse_linux:grafana, cpe:/o:novell:suse_linux:15
必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/SuSE/release, Host/SuSE/rpm-list
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2025/2/14
脆弱性公開日: 2023/6/22
参照情報
CVE: CVE-2023-3128, CVE-2023-6152, CVE-2024-45337, CVE-2024-6837, CVE-2024-8118
IAVB: 2023-B-0044-S, 2024-B-0012-S, 2024-B-0142-S, 2025-B-0016-S
SuSE: SUSE-SU-2025:0545-1