リモートの SUSE Linux SUSE15ホストには、openSUSE-SU-2021:2664-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - Prometheus は、オープンソースのモニタリングシステムおよび時系列データベースです2.23.0で、PrometheusはそのデフォルトUIを新規UIに変更しました。シームレスに移行できるよう、/newのプレフィックスのあるURLが/にリダイレクトされます。コードのバグにより、攻撃者が/newエンドポイントで他のURLにリダイレクトできるURLを細工する可能性があります。ユーザーが特別に細工されたアドレスでprometheusサーバーにアクセスすると、任意のURLにリダイレクトされる可能性があります。この問題は2.26.1および2.27.1リリースで修正されました。2.28.0で、/newエンドポイントが完全に削除されます。回避策は、Prometheus の前にあるリバースプロキシを介して /new へのアクセスを無効にすることです。(CVE-2021-29622)

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの SUSE Linux SUSE15ホストには、openSUSE-SU-2021:2675-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Grafana Enterprise 7.2.x および 7.3.x より前の 7.3.10 および 7.4.x より前の 7.4.5 により、ダッシュボードエディターは、アクセスできないはずのデータソースに関する権限チェックをバイパスできます。(CVE-2021-27962)

  - 7.4.5 より前の Grafana Enterprise 7.4.x のチーム同期 HTTP API に、不適切なアクセス制御の問題があります。外部認証サービスを使用する Grafana インスタンスで、この脆弱性により、認証されたユーザーが外部グループを既存のチームに追加する可能性があります。これを使用して、ユーザーが持つべきではないユーザーチーム権限を付与できます。(CVE-2021-28146)

  - 6.7.6 より前の Grafana Enterprise 6.x、7.3.10 前の 7.x、7.4.5 前の 7.4.x のチーム同期 HTTP API に、不適切なアクセス制御の問題があります。外部認証サービスを使用し、EditorsCanAdmin 機能が有効な Grafana インスタンスで、この脆弱性により、認証されたユーザーが外部グループを既存のチームに追加する可能性があります。これを使用して、ユーザーが持つべきではないユーザーチーム権限を付与できます。(CVE-2021-28147)

  - Grafana Enterprise 6.7.6 より前の 6.x、7.3.10 より前の 7.x、および 7.4.5 より前の 7.4.x の Usage Insights HTTP API エンドポイントの 1 つに、認証なしでアクセスできます。これにより、認証されていないユーザーが無制限の数のリクエストをエンドポイントに送信し、Grafana Enterprise インスタンスに対するサービス拒否 (DoS) 攻撃を引き起こす可能性があります。(CVE-2021-28148)

  - Prometheus は、オープンソースのモニタリングシステムおよび時系列データベースです2.23.0で、PrometheusはそのデフォルトUIを新規UIに変更しました。シームレスに移行できるよう、/newのプレフィックスのあるURLが/にリダイレクトされます。コードのバグにより、攻撃者が/newエンドポイントで他のURLにリダイレクトできるURLを細工する可能性があります。ユーザーが特別に細工されたアドレスでprometheusサーバーにアクセスすると、任意のURLにリダイレクトされる可能性があります。この問題は2.26.1および2.27.1リリースで修正されました。2.28.0で、/newエンドポイントが完全に削除されます。回避策は、Prometheus の前にあるリバースプロキシを介して /new へのアクセスを無効にすることです。(CVE-2021-29622)

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Prometheus は、オープンソースのモニタリングシステムおよび時系列データベースです2.23.0で、PrometheusはそのデフォルトUIを新規UIに変更しました。シームレスに移行できるよう、/newのプレフィックスのあるURLが/にリダイレクトされます。コードのバグにより、攻撃者が/newエンドポイントで他のURLにリダイレクトできるURLを細工する可能性があります。ユーザーが特別に細工されたアドレスでprometheusサーバーにアクセスすると、任意のURLにリダイレクトされる可能性があります。この問題は2.26.1および2.27.1リリースで修正されました。2.28.0で、/newエンドポイントが完全に削除されます。回避策は、Prometheus の前にあるリバースプロキシを介して /new へのアクセスを無効にすることです。(CVE-2021-29622)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

Prometheusによる報告：

Prometheusは、オープンソースのモニタリングシステムおよび時系列データベースです。2.23.0で、PrometheusはそのデフォルトUIを新規UIに変更しました。
シームレスに移行できるよう、/newのプレフィックスのあるURLが/にリダイレクトされます。コードのバグにより、攻撃者が/newエンドポイントで他のURLにリダイレクトできるURLを細工する可能性があります。
ユーザーが特別に細工されたアドレスでprometheusサーバーにアクセスすると、任意のURLにリダイレクトされる可能性があります。この問題は2.26.1および2.27.1リリースで修正されました。2.28.0で、/newエンドポイントが完全に削除されます。回避策は、Prometheusの前にあるリバースプロキシを介して/newへのアクセスを無効にすることです。

リモートの SUSE Linux SUSE15ホストには、openSUSE-SU-2021:1162-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Grafana Enterprise 7.2.x および 7.3.x より前の 7.3.10 および 7.4.x より前の 7.4.5 により、ダッシュボードエディターは、アクセスできないはずのデータソースに関する権限チェックをバイパスできます。(CVE-2021-27962)

  - 7.4.5 より前の Grafana Enterprise 7.4.x のチーム同期 HTTP API に、不適切なアクセス制御の問題があります。外部認証サービスを使用する Grafana インスタンスで、この脆弱性により、認証されたユーザーが外部グループを既存のチームに追加する可能性があります。これを使用して、ユーザーが持つべきではないユーザーチーム権限を付与できます。(CVE-2021-28146)

  - 6.7.6 より前の Grafana Enterprise 6.x、7.3.10 前の 7.x、7.4.5 前の 7.4.x のチーム同期 HTTP API に、不適切なアクセス制御の問題があります。外部認証サービスを使用し、EditorsCanAdmin 機能が有効な Grafana インスタンスで、この脆弱性により、認証されたユーザーが外部グループを既存のチームに追加する可能性があります。これを使用して、ユーザーが持つべきではないユーザーチーム権限を付与できます。(CVE-2021-28147)

  - Grafana Enterprise 6.7.6 より前の 6.x、7.3.10 より前の 7.x、および 7.4.5 より前の 7.4.x の Usage Insights HTTP API エンドポイントの 1 つに、認証なしでアクセスできます。これにより、認証されていないユーザーが無制限の数のリクエストをエンドポイントに送信し、Grafana Enterprise インスタンスに対するサービス拒否 (DoS) 攻撃を引き起こす可能性があります。(CVE-2021-28148)

  - Prometheus は、オープンソースのモニタリングシステムおよび時系列データベースです2.23.0で、PrometheusはそのデフォルトUIを新規UIに変更しました。シームレスに移行できるよう、/newのプレフィックスのあるURLが/にリダイレクトされます。コードのバグにより、攻撃者が/newエンドポイントで他のURLにリダイレクトできるURLを細工する可能性があります。ユーザーが特別に細工されたアドレスでprometheusサーバーにアクセスすると、任意のURLにリダイレクトされる可能性があります。この問題は2.26.1および2.27.1リリースで修正されました。2.28.0で、/newエンドポイントが完全に削除されます。回避策は、Prometheus の前にあるリバースプロキシを介して /new へのアクセスを無効にすることです。(CVE-2021-29622)

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
152553	openSUSE 15 セキュリティ更新 : golang-github-prometheus-prometheus (openSUSE-SU-2021:2664-1)	Nessus	SuSE Local Security Checks	2021/8/13	2021/8/13	medium
152552	openSUSE 15 セキュリティ更新 : SUSE Manager Client Tools(openSUSE-SU-2021:2675-1)	Nessus	SuSE Local Security Checks	2021/8/13	2022/5/9	high
255655	Linux Distros のパッチ未適用の脆弱性: CVE-2021-29622	Nessus	Misc.	2025/8/26	2025/8/26	medium
150091	FreeBSD：Prometheus -- 任意のリダイレクト（59ab72fb-bccf-11eb-a38d-6805ca1caf5c）	Nessus	FreeBSD Local Security Checks	2021/6/1	2023/12/28	medium
152647	openSUSE 15 セキュリティ更新 : SUSE Manager Client Tools(openSUSE-SU-2021:1162-1)	Nessus	SuSE Local Security Checks	2021/8/18	2022/5/9	high

検出

プラグインの検索

medium

high

medium

medium

high