Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Tempo および Loki のデータソースプラグインは、サニタイズせずに URL パスにユーザー指定の入力を補間することでバックエンド HTTP リクエストを構築し、パストラバーサルを可能にします。ビューアーロールのユーザーは、以下を行うことができます:(1)攻撃者が制御するエンドポイントをトラバースすることで、管理者が構成したデータソース認証情報(secureJsonData カスタムヘッダー)を取得し、(2)Tempo で状態を変更する管理エンドポイント(例:/flush、/shutdown)を呼び出し、(3)完全な HTTP 応答本文を返す Loki の CallResource を介して内部サービスデータを流出させることができます。(CVE-2026-10601)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-10601

medium Nessus プラグイン ID 322132

バージョン 1.1