リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2025:0525-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    dracut-saltboot はバージョン 0.1.1728559936.c16d4fb に更新されました:

    - MAC ベースの端末命名オプションを追加しました (jsc#SUMA-314)

    golang-github-prometheus-prometheus はバージョン 2.45.6 から 2.53.3 に更新されました (jsc#PED-11649):

    - 修正されたセキュリティ問題:
      * CVE-2024-51744: golang-jwt をバージョン 5.0 に更新し、不適切なエラー処理を修正 (bsc#1232970)

    - その他の変更のハイライト:
      * パフォーマンス:
        - PromQL 実行速度、TSDB 操作 (特にクエリとコンパクション)、リモート書き込み操作の大幅な強化。
        - メモリ管理を改善するために、デフォルトの GOGC 値が 75 に引き下げられました。
        - ドロップされたターゲットからのメモリ使用を制限するオプションが追加されました。
      * 新機能:
        - 実験的な OpenTelemetry 取り込み。
        - 自動メモリ制限処理。
        - 新機能、UI の強化、改善されたスクレイピングを含む、ネイティブヒストグラムのサポート。
        - AlertmanagerConfig のルールの再ラベル付けや新しい query_offset オプションなどの改善されたアラート機能。
        - メタデータの追加と新しいサービスのサポートにより拡張されたサービス検出オプション。
        - PromQL フォーマット、ラベル操作、メトリクスプッシュ、OpenMetrics ダンピング用の新しい promtool コマンド。
      * バグ修正:
        - スクレイピング、API、TSDB、PromQL、サービス検出にわたる多数の修正。
      * 変更の詳細なリストについては、パッケージ変更ログを参照するか、https://github.com/prometheus/prometheus/compare/v2.45.6...v2.53.3

    grafana はバージョン 9.5.18 から 10.4.13 に更新されました (jsc#PED-11591、jsc#PED-11649):

    - 修正されたセキュリティ問題:
      * CVE-2024-45337: golang.org/x/crypto をアップグレードすることで、ServerConfig.PublicKeyCallback の起こり得る誤用を防止します (bsc#1234554)
      * CVE-2023-3128: Azure AD OAuth を使用する認証バイパスを修正しました (bsc#1212641)
      * CVE-2023-6152: ユーザーのメールを更新する際にメール検証を追加します (bsc#1219912)
      * CVE-2024-6837: 潜在的なデータソースのアクセス許可昇格を修正しました (bsc#1236301)
      * CVE-2024-8118: 外部アラートルールの書き込みエンドポイントのアクセス許可を修正しました (bsc#1231024)

    - バージョン 10 の潜在的な重大な変更:
      * 「フィールドの抽出」変換を使用するパネルで、抽出された名前の 1 つが既存のフィールドの 1 つと競合する場合、抽出されたフィールドの名前が変更されます。
      * 既存のバックエンドモードでは、テーブルの視覚化を行っているユーザーは、パネルに不一致が現れる場合があります。
        テーブルの列の名前を更新しました。これは、フィールド変換やフィールドオーバーライドに影響を与える可能性があります。これを解決するには、変換を更新するか、フィールドのオーバーライドを行います。
      * 既存のバックエンドモードの場合、「time」フィールドを含む変換があるユーザーは、変換が機能しない可能性があります。変換が破損しているパネルは、レンダリングに失敗します。これは、フィールドキーを変更したためです。この問題を解決するには、次のいずれかを行います。影響を受けるパネルを削除して再作成します。もう一度「Time」フィールドを選択します。「panel.json」または「dashboard.json」で、「time」フィールドを変換の「Time」として編集します
      * 次のデータソースのアクセス許可のエンドポイントが削除されました。
        「GET /datasources/:datasourceId/permissions」「POST /api/datasources/:datasourceId/permissions」「DELETE /datasources/:datasourceId/permissions」「POST /datasources/:datasourceId/enable-permissions」「POST /datasources/:datasourceId/disable-permissions」
        - 代わりに次のエンドポイントを使用してください。
          データソースのアクセス許可を一覧表示する場合は「GET /api/access-control/datasources/:uid」、データソースのアクセス許可を追加または削除する場合は「POST /api/access-control/datasources/:uid/users/:id」、「POST /api/access-control/datasources/:uid/teams/:id」、「POST /api/access-control/datasources/:uid/buildInRoles/:id」
      * Terraform Grafana プロバイダーを使用してデータソースのアクセス許可を管理している場合は、プロバイダーをアップグレードする必要があります。
      * 既存のバックエンドモードでは、テーブルの視覚化を行っているユーザーは、パネルに不一致が現れる場合があります。
        テーブルの列の名前を更新しました。これは、フィールド変換やフィールドオーバーライドに影響を与える可能性があります。
      * 非推奨の「/playlists/{uid}/dashboards」API エンドポイントが削除されました。
        ダッシュボード情報は、「/dashboard/...」API から取得できます。
      * 「PUT /api/folders/:uid」エンドポイントは、フォルダーの「UID」の変更をサポートしなくなりました
      * 古いパネルヘッダーデザインからすべてのコンポーネントを削除しました。
      * 詳細については、https://grafana.com/docs/grafana/next/breaking-changes/breaking-changes-v10-3/for を確認してください
      * OAuth ロールマッピングの強制: この変更は GitHub、Gitlab、Okta、Generic OAuth に影響します。手動で設定されたロールのオーバーライドを回避するには、アップグレードの前に OAuth プロバイダーの Grafana 設定の skip_org_role_sync オプションを有効にします
      * Angular は廃止されました
      * Grafana のレガシーアラートが廃止されました
      * API キーは、サービスアカウントに移行しています
      * 実験的なダッシュボードプレビュー機能が削除されています
      * ユーザー名はデフォルトで大文字と小文字を区別しません
      * Grafana OAuth 統合がメール検索で動作しなくなりました
      * CloudWatch データソースの [エイリアス] フィールドが削除されました
      * Athena データソースプラグインは、バージョン 2.9.3 以上に更新する必要があります
      * Redshift データソースプラグインは、バージョン 1.8.3 以上に更新する必要があります
      * DoiT International BigQuery プラグインは現在サポートされなくなりました
      * 詳細については、https://grafana.com/docs/grafana/next/breaking-changes/breaking-changes-v10-0for を確認してください

    - この更新により、多くの新機能、拡張機能、修正が提供されます (以下で説明されています):
      * https://grafana.com/docs/grafana/next/whatsnew/whats-new-in-v10-4/* https://grafana.com/docs/grafana/next/whatsnew/whats-new-in-v10-3/* https://grafana.com/docs/grafana/next/whatsnew/whats-new-in-v10-2/* https://grafana.com/docs/grafana/next/whatsnew/whats-new-in-v10-1/* https://grafana.com/docs/grafana/next/whatsnew/whats-new-in-v10-0/:

    spacecmd がバージョン 5.0.11-0 に更新されました:

    - 翻訳文字列が更新されました

    supportutils-plugin-salt がバージョン 1.2.3 に更新されました:

    - supportutils 3.2.9 リリースとの互換性を確保するためにプラグインの要件が調整されました (bsc#1235145)
    - 後方互換性のあるスクリプトバージョンを提供します

    supportutils-plugin-susemanager-client がバージョン 5.0.4-0 に更新されました:

    - supportutils 3.2.9 リリースとの互換性を確保するためにプラグインの要件が調整されました (bsc#1235145)

    uyuni-tools がバージョン 0.1.23-0 から 0.1.27-0 に更新されました:

    - 修正されたセキュリティ問題:
      * CVE-2024-22037: podman シークレットを使用して、データベース認証情報を保存します (bsc#1231497)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2025:0525-1 advisory.

    dracut-saltboot was updated to version 0.1.1728559936.c16d4fb:

    - Added MAC based terminal naming option (jsc#SUMA-314)

    golang-github-prometheus-prometheus was updated from version 2.45.6 to 2.53.3 (jsc#PED-11649):

    - Security issues fixed:
      * CVE-2024-51744: Updated golang-jwt to version 5.0 to fix bad error         handling (bsc#1232970)

    - Highlights of other changes:
      * Performance:
        - Significant enhancements to PromQL execution speed, TSDB operations (especially querying and     compaction) and           remote write operations.
        - Default GOGC value lowered to 75 for better memory management.
        - Option to limit memory usage from dropped targets added.
      * New Features:
        - Experimental OpenTelemetry ingestion.
        - Automatic memory limit handling.
        - Native histogram support, including new functions, UI enhancements, and improved scraping.
        - Improved alerting features, such as relabeling rules for AlertmanagerConfig and a new query_offset     option.
        - Expanded service discovery options with added metadata and support for new services.
        - New promtool commands for PromQL formatting, label manipulation, metric pushing, and OpenMetrics     dumping.
      * Bug Fixes:
        - Numerous fixes across scraping, API, TSDB, PromQL, and service discovery.
      * For a detailed list of changes consult the package changelog or         https://github.com/prometheus/prometheus/compare/v2.45.6...v2.53.3

    grafana was updated from version 9.5.18 to 10.4.13 (jsc#PED-11591,jsc#PED-11649):

    - Security issues fixed:
      * CVE-2024-45337: Prevent possible misuse of ServerConfig.PublicKeyCallback by upgrading         golang.org/x/crypto (bsc#1234554)
      * CVE-2023-3128: Fixed authentication bypass using Azure AD OAuth (bsc#1212641)
      * CVE-2023-6152: Add email verification when updating user email (bsc#1219912)
      * CVE-2024-6837: Fixed potential data source permission escalation (bsc#1236301)
      * CVE-2024-8118: Fixed permission on external alerting rule write endpoint (bsc#1231024)

    - Potential breaking changes in version 10:
      * In panels using the `extract fields` transformation, where one         of the extracted names collides with one of the already         existing ields, the extracted field will be renamed.
      * For the existing backend mode users who have table         visualization might see some inconsistencies on their panels.
        We have updated the table column naming. This will         potentially affect field transformations and/or field         overrides. To resolve this either: update transformation or         field override.
      * For the existing backend mode users who have Transformations         with the `time` field, might see their transformations are         not working. Those panels that have broken transformations         will fail to render. This is because we changed the field         key. To resolve this either: Remove the affected panel and         re-create it; Select the `Time` field again; Edit the `time`         field as `Time` for transformation in `panel.json` or         `dashboard.json`
      * The following data source permission endpoints have been removed:
        `GET /datasources/:datasourceId/permissions`         `POST /api/datasources/:datasourceId/permissions`         `DELETE /datasources/:datasourceId/permissions`         `POST /datasources/:datasourceId/enable-permissions`         `POST /datasources/:datasourceId/disable-permissions`
        - Please use the following endpoints instead:
          `GET /api/access-control/datasources/:uid` for listing data            source permissions           `POST /api/access-control/datasources/:uid/users/:id`,           `POST /api/access-control/datasources/:uid/teams/:id` and           `POST /api/access-control/datasources/:uid/buildInRoles/:id`           for adding or removing data source permissions
      * If you are using Terraform Grafana provider to manage data source permissions, you will need to     upgrade your         provider.
      * For the existing backend mode users who have table visualization might see some inconsistencies on     their panels.
        We have updated the table column naming. This will potentially affect field transformations and/or     field overrides.
      * The deprecated `/playlists/{uid}/dashboards` API endpoint has been removed.
        Dashboard information can be retrieved from the `/dashboard/...` APIs.
      * The `PUT /api/folders/:uid` endpoint no more supports modifying the folder's `UID`
      * Removed all components for the old panel header design.
      * Please review https://grafana.com/docs/grafana/next/breaking-changes/breaking-changes-v10-3/         for more details
      * OAuth role mapping enforcement: This change impacts GitHub,         Gitlab, Okta, and Generic OAuth. To avoid overriding manually         set roles, enable the skip_org_role_sync option in the         Grafana configuration for your OAuth provider before         upgrading
      * Angular has been deprecated
      * Grafana legacy alerting has been deprecated
      * API keys are migrating to service accounts
      * The experimental dashboard previews feature is removed
      * Usernames are now case-insensitive by default
      * Grafana OAuth integrations do not work anymore with email lookups
      * The Alias field in the CloudWatch data source is removed
      * Athena data source plugin must be updated to version >=2.9.3
      * Redshift data source plugin must be updated to version >=1.8.3
      * DoiT International BigQuery plugin no longer supported
      * Please review https://grafana.com/docs/grafana/next/breaking-changes/breaking-changes-v10-0         for more details

    - This update brings many new features, enhancements and fixes highlighted at:
      * https://grafana.com/docs/grafana/next/whatsnew/whats-new-in-v10-4/
      * https://grafana.com/docs/grafana/next/whatsnew/whats-new-in-v10-3/
      * https://grafana.com/docs/grafana/next/whatsnew/whats-new-in-v10-2/
      * https://grafana.com/docs/grafana/next/whatsnew/whats-new-in-v10-1/
      * https://grafana.com/docs/grafana/next/whatsnew/whats-new-in-v10-0/:

    spacecmd was updated to version 5.0.11-0:

    - Updated translation strings

    supportutils-plugin-salt was updated to version 1.2.3:

    - Adjusted requirements for plugin to allow compatibility with supportutils 3.2.9 release (bsc#1235145)
    - Provide backwards-compatible scripts version

    supportutils-plugin-susemanager-client was updated to version 5.0.4-0:

    - Adjusted requirements for plugin to allow compatibility with supportutils 3.2.9 release (bsc#1235145)

    uyuni-tools was updated from version 0.1.23-0 to 0.1.27-0:

    - Security issues fixed:
      * CVE-2024-22037: Use podman secret to store the database credentials (bsc#1231497)

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名前	製品	ファミリー	公開日	更新日	深刻度
216389	SUSE SLED15/SLES15/openSUSE 15 セキュリティ更新 : SUSE Manager Client Tools (SUSE-SU-2025:0525-1)	Nessus	SuSE Local Security Checks	2025/2/17	2025/2/19	medium
216389	SUSE SLED15 / SLES15 / openSUSE 15 Security Update : SUSE Manager Client Tools (SUSE-SU-2025:0525-1)	Nessus	SuSE Local Security Checks	2025/2/17	2025/2/19	medium

検出

プラグインの検索

medium

medium