Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Grafana OSSおよびGrafana Enterpriseは、プラグインアーカイブを抽出するとき、シンボリックリンクを安全に解決しませんでした。
    細工されたプラグインアーカイブが、相対的なシンボリックリンクエントリを連結してプラグインインストールディレクトリをエスケープし、そのディレクトリの外側に任意のファイルと実行可能なバックエンドバイナリを書き込む可能性があります。ドロップされた実行可能ファイルは、Grafanaサーバープロセスの権限で実行され、リモートでコードが実行されます。
    プラグインアーカイブは、署名が検証される前に抽出されるため、有効なプラグイン署名が書き込みを妨げることはありません。したがって、正規のように見えるプラグインをインストールしたり、grafana-cli、GF_INSTALL_PLUGINSの環境変数、またはプレインストール構成を使用して任意のアーカイブからプラグインをインストールしたりすることで、オペレーターが影響を受ける可能性があります。Grafana Enterpriseは、Grafana OSSと同じプラグイン抽出コードを含んでいるため、影響を受けます。(CVE-2026-15815)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-15815

high Nessus プラグイン ID 353332

変更ログが見つかりません