自己申告によると、リモートホスト上でホストされているGrafanaのインストールは8.5.26より早い、9.2.19より早い、9.3.15より早い、9.4.12より早い、あるいは9.5.3より9.5.x早く設置されています。そのため、以下の複数の脆弱性の影響を受けます。

- Missing Authorization(認可不足)脆弱性。

- 同期不足の脆弱性。

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Redhat Enterprise Linux 9 ホストにインストールされているパッケージは、RHSA-2023: 7740 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。ビューアーロールを持つユーザーは、ユーザーパネル UI からテストアラートを送信するオプションを利用できません。API はこの関数へのアクセスをチェックしないため、ビューアーロールを持つユーザーは、API を使用してテストアラートを送信できます。
    これにより、悪意のあるユーザーがこの機能を悪用して、複数のアラートメッセージを電子メールと Slack に送信したり、ユーザーにスパムを送信したりして、フィッシング攻撃を準備したり、SMTP サーバーをブロックしたりすることが可能です。ユーザーはバージョン 9.5.3、9.4.12、9.3.15、9.2.19、8.5.26 をアップグレードして、修正を受け取ることができます。(CVE-2023-2183)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。パブリックダッシュボードを使用すると、ユーザーは混合クエリを使用して複数の異なるデータソースをクエリできます。ただし、このようなクエリでは Grfana インスタンスがクラッシュする可能性があります。現時点で混合クエリを使用する唯一の機能はパブリックダッシュボードですが、クエリ API を直接呼び出すことでこれを引き起こすことも可能です。これにより、悪意のあるユーザーがそのエンドポイントを介して Grafana インスタンスをクラッシュさせる可能性があります。ユーザーはバージョン 9.4.12および 9.5.3をアップグレードして、修正を受け取ることができます。
    (CVE-2023-2801)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。パブリックダッシュボードを使用すると、ユーザーは混合クエリを使用して複数の異なるデータソースをクエリできます。ただし、このようなクエリでは Grfana インスタンスがクラッシュする可能性があります。現時点で混合クエリを使用する唯一の機能はパブリックダッシュボードですが、クエリ API を直接呼び出すことでこれを引き起こすことも可能です。これにより、悪意のあるユーザーがそのエンドポイントを介して Grafana インスタンスをクラッシュさせる可能性があります。ユーザーはバージョン 9.4.12および 9.5.3をアップグレードして、修正を受け取ることができます。
    (CVE-2023-2801)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2023:2917-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    grafana:

    - バージョン 9.5.5 への更新:
      * CVE-2023-3128:Azure AD OAuth を使用した認証バイパスを修正します(bsc#1212641、jsc#PED-3694)
      * バグ修正:
        * 認証:無効なログインフォームが false に設定されている場合に招待ボタンを表示します。
        * Azure:Azure データソースの Kusto オートコンプリートを修正します。
        * RBAC:新しいダッシュボードルートで、レガシーの AC エディターおよび管理者ロールを削除します。
        * API:元に戻すことで、エディターが GET /datasources にアクセスすることを許可します。
        * Settings:Env 変数でskip_org_role_syncをオーバーライドする機能を追加します。
    - バージョン 9.5.3 への更新:
      * CVE-2023-2801:クエリ:混在クエリの同時実行中のクラッシュを防止します(bsc#1212099)
      * CVE-2023-2183:アラート:レシーバーとテンプレートをテストするために alert.notifications:write 権限が必要です(bsc#1212100)
    - バージョン 9.5.2 への更新:
        アラート: スケジューラは、バージョンの代わりにルールのフィンガープリントを使用します。
        調査: 表の最小高さを更新します。
        DataLinks:エンコードされた URL が修正されました。
        TimeSeries:不足している間隔の先行する null フィルを修正します。
        ダッシュボード:新しいパネルヘッダーでモバイルデバイスに表示される修正済みヘッダーを戻します。
        PostgreSQL:lib/pq をダウングレードすることで、TLS 証明書の問題を修正します。
        プロビジョニング: レガシ アラートとデータ ソースのアクセス許可に関するプロビジョニングの問題を修正します。
        アラート: プロビジョニング API の誤解を招くステータス コードを修正します。
        Loki:「instant」クエリを使用するログサンプルを修正します。
        パネルヘッダー: Angular パネルに新しいパネルヘッダーを実装します。
        Azure Monitor: 特定の場所のリソースが表示されなかったバグを修正。
        アラート:プロビジョニングを介した名前変更の試行後にレシーバーをグループの親に変更するときのパニックを修正します。
        Cloudwatch Logs: Cloudwatch Logs の制限を明確にします。
    - 9.5.1 Loki Variable Query Editor への更新:クエリが更新されるときのバグを修正します Expressions:レガシー UID -100 での表現ロードを修正します

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、652064ef-056f-11ee-8e16-6c3be5272acdのアドバイザリに記載されている脆弱性の影響を受けます。

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。パブリックダッシュボードを使用すると、ユーザーは混合クエリを使用して複数の異なるデータソースをクエリできます。ただし、このようなクエリでは Grfana インスタンスがクラッシュする可能性があります。現時点で混合クエリを使用する唯一の機能はパブリックダッシュボードですが、クエリ API を直接呼び出すことでこれを引き起こすことも可能です。これにより、悪意のあるユーザーがそのエンドポイントを介して Grafana インスタンスをクラッシュさせる可能性があります。ユーザーはバージョン 9.4.12および 9.5.3をアップグレードして、修正を受け取ることができます。
    (CVE-2023-2801)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
114851	Grafana< 9.2.19 複数の脆弱性	Web App Scanning	Component Vulnerability	2025/6/4	2025/6/4	medium
114854	グラファナ 9.5.x < 9.5.3 複数の脆弱性	Web App Scanning	Component Vulnerability	2025/6/4	2025/6/4	medium
114853	Grafana< 9.4.12 複数の脆弱性	Web App Scanning	Component Vulnerability	2025/6/4	2025/6/4	medium
114850	Grafana< 8.5.26 複数の脆弱性	Web App Scanning	Component Vulnerability	2025/6/4	2025/6/4	medium
114852	Grafana< 9.3.15 複数の脆弱性	Web App Scanning	Component Vulnerability	2025/6/4	2025/6/4	medium
186760	RHEL 9: Red Hat Ceph Storage 6.1 (RHSA-2023: 7740)	Nessus	Red Hat Local Security Checks	2023/12/12	2024/11/7	medium
226522	Linux Distros のパッチ未適用の脆弱性: CVE-2023-2801	Nessus	Misc.	2025/3/5	2026/8/6	medium
178694	SUSE SLED15/SLES15/openSUSE 15 セキュリティ更新 : SUSE Manager Client Tools (SUSE-SU-2023:2917-1)	Nessus	SuSE Local Security Checks	2023/7/21	2026/6/25	critical
176942	FreeBSD : Grafana -- Grafana DS プロキシの競合状態 (652064ef-056f-11ee-8e16-6c3be5272acd)	Nessus	FreeBSD Local Security Checks	2023/6/8	2023/6/14	medium

検出

プラグインの検索

medium

medium

medium

medium

medium

medium

medium

critical

medium