Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Grafana 6.3.4 より前の 2.x から 6.x では、HTTP API の一部を認証なしで使用できるようにします。これにより、Grafana を実行しているサーバーに対して DoS 攻撃 (サービス拒否攻撃) を実行することが可能になります。(CVE-2019-15043)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

このgrafana、grafana-piechart-panel、grafana-status-panelの更新では、次の問題を修正します：

grafanaがバージョン7.0.3に更新しました：

  - 機能および強化

  - 統計：すべてのフィールドを含めます。#24829、@ryantxu

  - 変数：VariableEditorListの行アクションアイコンをアイコンボタンに変更します。#25217、@hshoff

  - バグ修正

  - Cloudwatch：DDoSProtectionの寸法を修正します。#25317、@papagian

  - 構成：ハイフンを含むセクションのenv varオーバーライドを修正します。#25178、@marefr

  - ダッシュボード：折りたたまれた行内のパネルを取得します。#25079、@peterholmberg

  - アラートが無効になっている場合は、アラートタブを表示しません。
    #25285、@dprokop

  - Jaeger：カスケードオプションのラベル期間値を修正します。
    #25129、@Estrax

  - Transformations：変換タブのクラッシュと最初の変換を追加した後の更新なしを修正しました。#25152、@torkelo

バージョン7.0.2への更新

  - バグ修正

  - セキュリティ：CVE-2020-13379を修正する緊急セキュリティパッチリリース

バージョン7.0.1への更新

  - 機能および強化

  - Datasource/CloudWatch：CloudWatch Logsのクエリ履歴をより読みやすくします。#24795、@kadelaney

  - CSVのダウンロード：日付と時刻の書式設定を追加します。#24992、@ryantxu

  - テーブル：右揃えのときに最後のセル値が見えるようにします。
    #24921、@peterholmberg

  - TablePanel：並べ替え順序の永続性の追加。#24705、@torkelo

  - 変換：reduce変換を使用する場合に正しいフィールド名を表示します。#25068、@peterholmberg

  - 変換：バイナリ演算でカスタム数値入力を許可します。#24752、@ryantxu

  - バグ修正

  - ダッシュボード/リンク：タグが機能しないことによるダッシュボードリンクを修正します。 #24773、@ KamalGalrani

  - ダッシュボード/リンク：ダッシュボードリンクの新しいウィンドウが開く問題を修正します。 #24772、@ KamalGalrani

  - ダッシュボード/リンク：変数が解決され、100に制限されます。#25076、@hugohaggmark

  - DataLinks：タイトルの変数補間を元に戻します。
    #24970、@dprokop

  - Datasource/CloudWatch：フィールドの提案が、プレフィックスのみに制限されなくなりました。#24855、@kaydelaney

  - Explore/テーブル：可能であれば、既存のフィールドタイプを維持します。
    #24944、@kaydelaney

  - Explore：フィルター式のあるクエリ結果の折り返し行の切り替えを修正します。#24915、@ivanahuckova

  - Explore：クエリエディターにおける元に戻す操作を修正します。#24797、@zoltanbedi

  - Explore：入力の見出し情報における単語の折り返しを修正します。#25014、@zoltanbedi

  - グラフ：凡例の小数が期待どおりに動作するようになりました。#24931、@torkelo

  - ログインページ：サービスボタンにカーソルを置いたときの色を修正します。#25009、@tskarhed

  - ログパネル：スクロールバーを修正します。#24850、@ivanahuckova

  - ダッシュボードの移動：ダッシュボードを移動すると、すべての変数が失われる問題を修正します。#25005、@torkelo

  - 整列の変換：フィールド順序の比較で表示名を使用します。#24984、@dprokop

  - パネル：表示モードで適切なパネルメニュー項目を表示します。
    #24912、@hugohaggmark

  - パネルエディター：カテゴリのオプションが1つのみの場合にラベルと説明が欠落する問題を修正します。#24905、@dprokop

  - パネルエディター：フィールドのデフォルトの表示名が指定された後でも、オーバーライドの名前マッチャーですべて元のフィールド名が表示されます。#24933、@torkelo

  - パネルインスペクター：データ表示オプションが必ず表示されるようにします。#24902、@hugohaggmark

  - パネルインスペクター：パネルタイプに対してサポートされていないデータ表示オプションを非表示にします。#24918、@hugohaggmark

  - パネルメニュー：ボタンを押すとメニューが非表示になるようにします。#25015、@tskarhed

  - Postgres：追加ボタンを修正します。#25087、@phemmer

  - Prometheus：記録ルールの拡張を修正します。#24977、@ivanahuckova

  - Stackdriver：サービスレベル目標（SLO）データソースのクエリ変数の作成を修正します。#25023、@papagian

バージョン7.0.0への更新 

  - 重大な変更

  - PhantomJSの削除：PhantomJSはGrafana v6.4で廃止され、Grafana v7.0.0以降、すべてのPhantomJSサポートが削除されました。つまり、Grafanaには作り込みの画像レンダラーが付属しなくなります。Grafana Image Rendererプラグインをインストールすることをお勧めします。

  - ダッシュボード：ダッシュボードのグローバル最小リフレッシュ間隔が適用されるようになり、デフォルトで5秒に設定されます。

  - 間隔計算：自動間隔の$__intervalの計算を制御する新しいオプションMax data pointsが追加されました。これまでは、パネルの幅を時間範囲で除算することで間隔を計算していました。新しいmax data pointsオプションにより、時間範囲に依存しない動的な値に$__intervalを簡単に設定できるようになりました。たとえば、Max data pointsを10に設定した場合、Grafanaは現在の時間範囲を10で除算して、動的に$__intervalを設定します。

  - Datasource/Loki：廃止されたLokiエンドポイントのサポートが削除されました。

  - バックエンドプラグイン：Grafanaで、バックエンドプラグインへの署名が必須となりました。署名しない場合、Grafanaはプラグインをロード/起動しません。
    これは、バックエンドプラグインのバイナリとファイルが改ざんされていないことを確認するための追加のセキュリティ対策です。詳細については、Upgrade Grafanaを参照してください。

  - @grafana/ui：フォーム移行の通知、@grafana/uiの変更ログを参照してください

  - @grafana/ui：カスタム値を作成するためのSelect APIの変更、@grafana/uiの変更ログを参照してください

  + 廃止の警告

  - スクリプト化されたダッシュボードは廃止されました。この機能は削除されていませんが、将来のリリースで削除されます。動的ダッシュボードの基になる要件への対応は別の方法で行う予定です。 #24059

  - バックエンドプラグインの最初の非公式バージョンおよびgrafana/grafana-plugin-modelの使用はともに廃止され、このプラグインに対するサポートは将来のリリースで削除されます。正式にサポートされた新しいバックエンドプラグインについては、バックエンドプラグインのドキュメントを参照してください。

  - 機能および強化

  - バックエンドプラグイン：最初の非公式バージョンのバックエンドプラグインを使用した場合の廃止の警告をログに記録します。#24675、@marefr

  - エディター：Enterで改行し、Shift+Enterでクエリを実行します。
    #24654、@davkal

  - Loki：同じ名前の複数の派生フィールドを許可します。
    #24437、@aocenas

  - 組織：将来の廃止通知を追加します。#24502、@torkelo

  - バグ修正

  - @grafana/toolkit：PWDの代わりにprocess.cwd（）を使用してディレクトリを取得します。#24677、@zoltanbedi

  - 管理：設定ページで長い設定値を改行させます。#24559、@hugohaggmark

  - ダッシュボード：プロビジョニングされたダッシュボードJSONの編集を許可し、JSONがダッシュボードにコピーされたときに確認を追加します。
    #24680、@dprokop

  - ダッシュボード：ダッシュボード設定でリンクを開いたときに示される、不適切な「dashboard not found」というエラーを修正します。#24416、@torkelo

  - ダッシュボード：パネルエディターでデータソースが見つからないときに、デフォルトのデータソースが選択されるように修正します。#24526、@mckn

  - ダッシュボード：パネルエディターでパネルが透明から通常の状態に戻される問題を修正しました。#24483、@torkelo

  - ダッシュボード：パネルインスペクターからCSVファイルにエクスポートする際に、ヘッダー名にフィールド名が反映されるようにします。
    #24624、@peterholmberg

  - ダッシュボード：パネルエディターで、サイドペインがデフォルトでタブ付きで表示されるようにします。#24636、@dprokop

  - データソース：クエリ/注釈のヘルプコンテンツのフォーマットを修正します。#24687、@AgnesToulet

  - データソース：非同期マウントのエラーを修正します。#24579、@Estrax

  - データソース：URLでプロトコルが指定されない場合に、エラーなしでデータソースを保存するように修正します。#24497、@aknuds1

  - Explore/Prometheus：インスタントクエリの結果をテーブルにのみ表示します。#24508、@ivanahuckova

  - Explore：reactクエリエディターのレンダリングを修正します。#24593、@ivanahuckova

  - Explore：ログコンテキストビューでより多くのログがロードされるように修正します。
    #24135、@Estrax

  - Graphite：Metrictankクエリのロールアップインジケーターのスキーマと重複排除戦略を修正します。#24685、@torkelo

  - Graphite：クエリ注釈が再び動作するようにします。#24556、@hugohaggmark

  - ログ：コンテキストオーバーレイで「Load more」をクリックしてもログ行が拡張されません。#24299、@kaydelaney

  - ログ：合計バイトプロセスの計算を修正します。#24691、@davkal

  - 組織/ユーザー/チームの設定：UIテーマをデフォルトに戻すことができるように修正します。#24628、@AgnesToulet

  - プラグイン：マニフェスト検証を修正します。#24573、@aknuds1

  - プロビジョニング：プロビジョニングでのデフォルトアクセスモードとしてプロキシを使用します。#24669、@bergquist

  - 検索：Enterキーを押したときに項目が選択され、Grafanaがサブパスを使用して機能するように修正します。#24634、@tskarhed

  - 検索：展開されたフォルダの状態を保存します。#24496、@Clarity-89

  - セキュリティ：OpenTSDBデータソースでのタグ値のサニタイズの修正。#24539、@rotemreiss

  - テーブル：angularパネルから切り替える際に、オプションにangularオプションを含めません。#24684、@torkelo

  - テーブル：時系列フィールドに対する列のサイズ変更を維持するように修正しました。#24505、@torkelo

  - テーブル：nullのプロパティsubRowsを読み取れない問題を修正します。
    #24578、@hugohaggmark

  - タイムピッカー：絶対範囲に変換されることなく、タイムピッカーに相対範囲を入力できるように修正しました。#24534、@mckn

  - 変換：変換ドロップダウンがトリミングされないようにします。
    #24615、@dprokop

  - 変換：reduce変換を使用する際、ユーザーが入力したとおりの並べ替え順序を維持する必要があります。
    #24494、@hugohaggmark

  - 単位：接尾辞として記号が付いている通貨に単位記号を追加します。#24678、@hugohaggmark

  - 変数：1000エントリを超えるフィルタリングオプションを修正します。#24614、@hugohaggmark

  - 変数：Textbox変数がurlから値を読み込むように修正します。#24623、@hugohaggmark

  - Zipkin：スパンにremoteEndpointが含まれる場合のエラーを修正します。
    #24524、@aocenas

  - SAML：ユーザーログイン属性のマッピングで、メールからログインに切り替えます（Enterprise）

この更新はSUSEからインポートされました：SLE-15-SP2：更新プロジェクトを更新します。

CVE-2019-15043のセキュリティ修正

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートRedhat Enterprise Linux 8ホストにインストールされているパッケージは、RHSA-2020: 1659アドバイザリに記載されている脆弱性の影響を受けます。

  - grafana: スナップショットHTTP APIでの不適切なアクセス制御により DoS（サービス拒否）が引き起こされる（CVE-2019-15043）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートのCentOS Linux 8ホストにインストールされているパッケージは、CESA-2020: 1659アドバイザリに記載されている脆弱性の影響を受けます。

  - grafana: スナップショットHTTP APIでの不適切なアクセス制御により DoS（サービス拒否）が引き起こされる（CVE-2019-15043）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Oracle Linux 8 ホストに、ELSA-2020-1659 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - Grafana 6.3.4 より前の 2.x から 6.x では、HTTP API の一部を認証なしで使用できるようにします。これにより、Grafana を実行しているサーバーに対して DoS 攻撃 (サービス拒否攻撃) を実行することが可能になります。(CVE-2019-15043)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
139022	openSUSEセキュリティ更新プログラム：SUSE Manager Client Tools（openSUSE-2020-1105）	Nessus	SuSE Local Security Checks	2020/7/28	2024/2/28	high
261037	Linux Distros のパッチ未適用の脆弱性: CVE-2019-15043	Nessus	Misc.	2025/9/3	2025/9/3	high
138710	openSUSEセキュリティ更新プログラム：grafana / grafana-piechart-panel / grafana-status-panel（openSUSE-2020-892）	Nessus	SuSE Local Security Checks	2020/7/20	2024/2/29	high
138793	SUSE SLES12セキュリティ更新プログラム：SUSE Manager Client Tools（SUSE-SU-2020:1970-1）	Nessus	SuSE Local Security Checks	2020/7/21	2024/2/29	high
128572	Fedora 29：grafana（2019-77d612eab4）	Nessus	Fedora Local Security Checks	2019/9/9	2024/4/26	high
136040	RHEL 8: grafana（RHSA-2020: 1659）	Nessus	Red Hat Local Security Checks	2020/4/28	2024/11/7	high
128562	Fedora 30：grafana（2019-0bb6b876da）	Nessus	Fedora Local Security Checks	2019/9/9	2024/4/26	high
145851	CentOS 8：grafana（CESA-2020：1659）	Nessus	CentOS Local Security Checks	2021/2/1	2024/1/24	high
180892	Oracle Linux 8: grafana (ELSA-2020-1659)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2024/10/22	high

検出

プラグインの検索

high

high

high

high

high

high

high

high

high