リモートのOracle Linux 8ホストに、ELSA-2020-4682アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 6.7.3までのGrafanaに情報開示の欠陥が見つかりました。データベースディレクトリ/var/lib/grafanaおよびデータベースファイル/var/lib/grafana/grafana.dbは、誰でも読み取ることができます。このため、機密情報 (平文や暗号化されたデータソースパスワードなど ) の漏洩が発生する可能性があります。 (CVE-2020-12458 )

  - 6.7.3より前のGrafanaは、column.titleまたはcellLinkTooltipによるテーブルパネルXSSが可能です。 (CVE-2020-12245 )

  - Grafana <=

リモートのRedhat Enterprise Linux 8ホストに、RHSA-2020: 2861アドバイザリに記載されている複数の脆弱性によって影響を受けるパッケージがインストールされています。

  - kubernetes: YAML解析は「Billion Laughs」攻撃に対して脆弱であり、リモートでのサービス拒否を引き起こす可能性があります（CVE-2019-11253）

  - grafana: XSSアノテーションポップアップの脆弱性（CVE-2020-12052）

  - grafana: 列、タイトル、またはcellLinkTooltipによるXSS（CVE-2020-12245）

  - grafana: SSRFの不適切なアクセス制御の脆弱性により、認証されていないユーザーがgrafanaにHTTPリクエストを任意のURLへ送信させることができるようになります（CVE-2020-13379）

  - grafana: OpenTSDBデータソースによるXSS（CVE-2020-13430）

  - npm-serialize-javascript: リモートの攻撃者がindex.js内のdeleteFunctions関数により任意のコードを注入する可能性があります（CVE-2020-7660）

  - npmjs-websocket-extensions: Sec-WebSocket-ExtensionsパーサーのReDoS脆弱性（CVE-2020-7662）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートのCentOS Linux 8ホストにインストールされているパッケージは、CESA-2020: 4682のアドバイザリに記載されている脆弱性の影響を受けます。

  - grafana: ダッシュボード>テーブルパネル画面の列スタイルによるXSSの脆弱性（CVE-2018-18624）

  - grafana: MySQLデータソースを介した任意のファイル読み取り（CVE-2019-19499）

  - grafana: 保存されたXSS（CVE-2020-11110）

  - grafana: XSSアノテーションポップアップの脆弱性（CVE-2020-12052）

  - grafana: 列、タイトル、またはcellLinkTooltipによるXSS（CVE-2020-12245）

  - grafana: 誰でも読み取ることができる/var/lib/grafana/grafana.dbを介した情報漏洩（CVE-2020-12458）

  - grafana: 全ユーザーに読み取り権限があるgrafana構成ファイルによる情報開示（CVE-2020-12459）

  - grafana: OpenTSDBデータソースによるXSS（CVE-2020-13430）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Redhat Enterprise Linux 8 ホストにインストールされているパッケージは、RHSA-2020: 4682のアドバイザリに記載されている脆弱性の影響を受けます。

  - grafana: ダッシュボード>テーブルパネル画面の列スタイルによるXSSの脆弱性（CVE-2018-18624）

  - grafana: MySQLデータソースを介した任意のファイル読み取り（CVE-2019-19499）

  - grafana: 保存されたXSS（CVE-2020-11110）

  - grafana: XSSアノテーションポップアップの脆弱性（CVE-2020-12052）

  - grafana: 列、タイトル、またはcellLinkTooltipによるXSS（CVE-2020-12245）

  - grafana: 誰でも読み取ることができる/var/lib/grafana/grafana.dbを介した情報漏洩（CVE-2020-12458）

  - grafana: 全ユーザーに読み取り権限があるgrafana構成ファイルによる情報開示（CVE-2020-12459）

  - grafana: OpenTSDBデータソースによるXSS（CVE-2020-13430）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートのRedhat Enterprise Linux 8ホストにインストールされているパッケージは、RHSA-2020: 2796アドバイザリに記載されている複数の脆弱性によって影響を受ける。

  - kubernetes: YAML解析は「Billion Laughs」攻撃に対して脆弱であり、リモートでのサービス拒否を引き起こす可能性があります（CVE-2019-11253）

  - npm-serialize-javascript: シリアル化された正規表現での安全でない文字によるXSS（CVE-2019-16769）

  - grafana: XSSアノテーションポップアップの脆弱性（CVE-2020-12052）

  - grafana: 列、タイトル、またはcellLinkTooltipによるXSS（CVE-2020-12245）

  - grafana: SSRFの不適切なアクセス制御の脆弱性により、認証されていないユーザーがgrafanaにHTTPリクエストを任意のURLへ送信させることができるようになります（CVE-2020-13379）

  - grafana: OpenTSDBデータソースによるXSS（CVE-2020-13430）

  - npm-serialize-javascript: リモートの攻撃者がindex.js内のdeleteFunctions関数により任意のコードを注入する可能性があります（CVE-2020-7660）

  - npmjs-websocket-extensions: Sec-WebSocket-ExtensionsパーサーのReDoS脆弱性（CVE-2020-7662）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
142792	Oracle Linux 8 : grafana (ELSA-2020-4682 )	Nessus	Oracle Linux Local Security Checks	2020/11/12	2024/2/9	medium
138178	RHEL 8 : Red Hat OpenShift Service Mesh 1.0 servicemesh-grafana（RHSA-2020: 2861)	Nessus	Red Hat Local Security Checks	2020/7/7	2024/6/3	high
145918	CentOS 8：grafana（CESA-2020：4682）	Nessus	CentOS Local Security Checks	2021/2/1	2024/1/24	medium
142416	RHEL 8：grafana（RHSA-2020: 4682)	Nessus	Red Hat Local Security Checks	2020/11/4	2024/6/4	medium
138031	RHEL 8 : Red Hat OpenShift Service Mesh servicemesh-grafana（RHSA-2020: 2796)	Nessus	Red Hat Local Security Checks	2020/7/1	2024/4/28	high

検出

プラグインの検索

medium

high

medium

medium

high