リモートの SUSE Linux SLES15 / openSUSE 15 ホストには、SUSE-SU-2025:0545-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    grafana はバージョン 9.5.18 から 10.4.13 に更新されました (jsc#PED-11591、jsc#PED-11649):

    - 修正されたセキュリティ問題:
      * CVE-2024-45337: golang.org/x/crypto をアップグレードすることで、ServerConfig.PublicKeyCallback の起こり得る誤用を防止します (bsc#1234554)
      * CVE-2023-3128: Azure AD OAuth を使用する認証バイパスを修正しました (bsc#1212641)
      * CVE-2023-6152: ユーザーのメールを更新する際にメール検証を追加します (bsc#1219912)
      * CVE-2024-6837: 潜在的なデータソースのアクセス許可昇格を修正しました (bsc#1236301)
      * CVE-2024-8118: 外部アラートルールの書き込みエンドポイントのアクセス許可を修正しました (bsc#1231024)

    - バージョン 10 の潜在的な重大な変更:
      * 「フィールドの抽出」変換を使用するパネルで、抽出された名前の 1 つが既存のフィールドの 1 つと競合する場合、抽出されたフィールドの名前が変更されます。
      * 既存のバックエンドモードでは、テーブルの視覚化を行っているユーザーは、パネルに不一致が現れる場合があります。
        テーブルの列の名前を更新しました。これは、フィールド変換やフィールドオーバーライドに影響を与える可能性があります。これを解決するには、変換を更新するか、フィールドのオーバーライドを行います。
      * 既存のバックエンドモードの場合、「time」フィールドを含む変換があるユーザーは、変換が機能しない可能性があります。変換が破損しているパネルは、レンダリングに失敗します。これは、フィールドキーを変更したためです。この問題を解決するには、次のいずれかを行います。影響を受けるパネルを削除して再作成します。もう一度「Time」フィールドを選択します。「panel.json」または「dashboard.json」で、「time」フィールドを変換の「Time」として編集します
      * 次のデータソースのアクセス許可のエンドポイントが削除されました。
        「GET /datasources/:datasourceId/permissions」「POST /api/datasources/:datasourceId/permissions」「DELETE /datasources/:datasourceId/permissions」「POST /datasources/:datasourceId/enable-permissions」「POST /datasources/:datasourceId/disable-permissions」
        - 代わりに次のエンドポイントを使用してください。
          データソースのアクセス許可を一覧表示する場合は「GET /api/access-control/datasources/:uid」、データソースのアクセス許可を追加または削除する場合は「POST /api/access-control/datasources/:uid/users/:id」、「POST /api/access-control/datasources/:uid/teams/:id」、「POST /api/access-control/datasources/:uid/buildInRoles/:id」
      * Terraform Grafana プロバイダーを使用してデータソースのアクセス許可を管理している場合は、プロバイダーをアップグレードする必要があります。
      * 既存のバックエンドモードでは、テーブルの視覚化を行っているユーザーは、パネルに不一致が現れる場合があります。
        テーブルの列の名前を更新しました。これは、フィールド変換やフィールドオーバーライドに影響を与える可能性があります。
      * 非推奨の「/playlists/{uid}/dashboards」API エンドポイントが削除されました。
        ダッシュボード情報は、「/dashboard/...」API から取得できます。
      * 「PUT /api/folders/:uid」エンドポイントは、フォルダーの「UID」の変更をサポートしなくなりました
      * 古いパネルヘッダーデザインからすべてのコンポーネントを削除しました。
      * 詳細については、https://grafana.com/docs/grafana/next/breaking-changes/breaking-changes-v10-3/for を確認してください
      * OAuth ロールマッピングの強制: この変更は GitHub、Gitlab、Okta、Generic OAuth に影響します。手動で設定されたロールのオーバーライドを回避するには、アップグレードの前に OAuth プロバイダーの Grafana 設定の skip_org_role_sync オプションを有効にします
      * Angular は廃止されました
      * Grafana のレガシーアラートが廃止されました
      * API キーは、サービスアカウントに移行しています
      * 実験的なダッシュボードプレビュー機能が削除されています
      * ユーザー名はデフォルトで大文字と小文字を区別しません
      * Grafana OAuth 統合がメール検索で動作しなくなりました
      * CloudWatch データソースの [エイリアス] フィールドが削除されました
      * Athena データソースプラグインは、バージョン 2.9.3 以上に更新する必要があります
      * Redshift データソースプラグインは、バージョン 1.8.3 以上に更新する必要があります
      * DoiT International BigQuery プラグインは現在サポートされなくなりました
      * 詳細については、https://grafana.com/docs/grafana/next/breaking-changes/breaking-changes-v10-0for を確認してください

    - この更新により、多くの新機能、拡張機能、修正が提供されます (以下で説明されています):
      * https://grafana.com/docs/grafana/next/whatsnew/whats-new-in-v10-4/* https://grafana.com/docs/grafana/next/whatsnew/whats-new-in-v10-3/* https://grafana.com/docs/grafana/next/whatsnew/whats-new-in-v10-2/* https://grafana.com/docs/grafana/next/whatsnew/whats-new-in-v10-1/* https://grafana.com/docs/grafana/next/whatsnew/whats-new-in-v10-0/

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

SUSE SLES15/openSUSE 15 セキュリティ更新: grafana (SUSE-SU-2025:0545-1)

low Nessus プラグイン ID 216397

バージョン 1.3

バージョン 1.2

バージョン 1.1

バージョン 1.3 Jun 5, 2025, 4:30 PM IAVM reference Plugin Feed: 202506051630
バージョン 1.2 Feb 19, 2025, 9:55 AM Plugin metadata Detection (updated detection logic) Plugin Feed: 202502190955
バージョン 1.1 Feb 17, 2025, 8:34 PM New Plugin Feed: 202502172034