リモート Redhat Enterprise Linux 8 ホストに、RHSA-2022:1781 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - grafana: ディレクトリトラバーサルの脆弱性 (CVE-2021-43813)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES12 / SLES_SAP12 ホストには、SUSE-SU-2022:2134-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 1.18.4 より前および 1.19.2 より前の 1.19.x の MIT Kerberos 5 (別名 krb5) の Key Distribution Center (KDC) における kdc/kdc_preauth_ec.c の ec_verify により、リモートの攻撃者は NULL ポインターデリファレンスおよびデーモンのクラッシュを引き起こすことができます。これは、特定の状況で戻り値が適切に管理されないことが原因で発生します。(CVE-2021-36222)

  -SM2暗号化データを復号するには、アプリケーションがAPI 関数EVP_PKEY_decrypt() を呼び出す必要があります。通常、アプリケーションはこの関数を2回呼び出します。初回の入力時点ではoutパラメーターはNULLにできます。また終了時点でoutlenパラメーターには、復号された平文を保持するために必要なバッファサイズでデータが投入されます。その後、アプリケーションは十分なサイズのバッファを割り振り、EVP_PKEY_decrypt() を再び呼び出すことができますが、今回、outパラメーターにNULL以外の値が渡されました。SM2復号化コードの実装におけるバグにより、EVP_PKEY_decrypt()の初回呼び出しに必要な平文を保持するために求められるバッファサイズの計算が、2回目の呼び出しで必要となる実際のサイズよりも小さくなることがあります。これにより、アプリケーションがEVP_PKEY_decrypt() を2回目に呼び出すときにバッファが小さすぎるため、バッファオーバーフローが引き起こされる可能性があります。アプリケーションに対して復号化するためのSM2コンテンツを提示できる悪意のある攻撃者は、選択したデータに関してバッファを最大62バイトまでオーバーフローさせ、バッファ後に保持される他のデータコンテンツを変更することができます。それにより、アプリケーションの動作が変更されたり、アプリケーションがクラッシュされたりする可能性があります。バッファの場所はアプリケーションによって異なりますが、通常はヒープに割り当てられます。OpenSSL 1.1.1l で修正されました (1.1.1-1.1.1k が影響を受けます)。
    (CVE-2021-3711)

  -Grafanaは、オープンソースのデータ視覚化プラットフォームです。影響を受けるバージョンでは、認証されていないユーザーおよび認証されたユーザーが、リテラルパスにアクセスすることで、最も低いデータベースキーでスナップショットを表示できます。/dashboard/snapshot/: key、または/api/snapshots/: key。スナップショットpublic_mode構成設定がtrue (デフォルトはfalse) に設定されている場合、認証されていないユーザーは、リテラルパスにアクセスすることで、最も低いデータベースキーでスナップショットを削除できます。/api/snapshots-delete/: deleteKey。スナップショットpublic_modeの設定に関わらず、認証されているユーザーは、リテラルパスにアクセスすることで、最も低いデータベースキーでスナップショットを削除できます。/api/snapshots/: key、または/api/snapshots-delete/: deleteKey。削除と表示の組み合わせにより、すべてのスナップショットデータを完全にウォークスルーすることができますが、スナップショットデータは完全に失われます。この問題はバージョン8.1.6および7.5.11で解決済みです。何らかの理由でアップグレードできない場合は、リバースプロキシなどを使用して、リテラルパスへのアクセスをブロックできます。
    /api/snapshots/: key、/api/snapshots-delete/: deleteKey、/dashboard/snapshot/: key、および/api/snapshots/: key。
    これらには通常の機能がなく、制度エフェクトなしに無効化できます。(CVE-2021-39226)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。影響を受けるバージョンでは、攻撃者が被害者に、脆弱なページを参照している URL にアクセスするよう誘導することができる場合、任意の JavaScript コンテンツが被害者のブラウザのコンテキスト内で実行される可能性があります。悪意のあるリンクにアクセスするユーザーは認証されていない必要があり、リンクはメニューバーのログインボタンを含むページに対するものである必要があります。AngularJS レンダリングを悪用し、AngularJS 式の補間バインディングを含めるために、URL を細工する必要があります。AngularJS は、補間バインディングに二重中括弧を使用しています：{{}}例：
    {{constructor.constructor(alert(1)')()}}。ユーザーがリンクをたどり、ページがレンダリングされると、ログインボタンに、ログインページへのリダイレクトを強制するクエリパラメーターのある元のリンクが含まれます。URL は検証されず、AngularJS レンダリングエンジンは URL に含まれる JavaScript 式を実行します。ユーザーは、至急アップグレードすることが勧められています。何らかの理由でアップグレードできない場合は、リバースプロキシなどを使用して、パスのリテラルストリング {{ へのアクセスをブロックできます。
    (CVE-2021-41174)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。影響を受けるバージョンでは、きめ細かいアクセスコントロールのベータ機能が有効で、Grafana インスタンスに複数の組織がある場合、管理者は他の組織のユーザーにアクセスできます。Grafana 8.0では、Organization Admin ロールを持つユーザーが、自分が管理者でない他の組織のユーザーのロールを一覧表示、追加、削除、更新できるメカニズムを導入しました。粒度の細かいアクセスコントロールを有効にすると、組織管理者は、組織管理者ロールのない別の組織のユーザーのロールを一覧表示、追加、削除、更新できます。粒度の細かいアクセスコントロールのベータが有効になっていて、複数の組織がいる v8.0 と v8.2.3 の間のすべてのインストールは、できるだけ早くアップグレードする必要があります。アップグレードできない場合は、機能フラグを使用して、粒度の細かいアクセスコントロールをオフにする必要があります。(CVE-2021-41244)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。Grafana バージョン 8.0.0-beta1 から 8.3.0(パッチを適用したバージョンは除く) は、ディレクトリトラバーサルに対して脆弱であり、ローカルファイルへのアクセスを許可します。
    脆弱な URL パスは次のとおりです。「<grafana_host_url>/public/plugins//」はインストールされているプラグインのプラグイン ID です。Grafana Cloud が脆弱になったことは一度もありません。ユーザーはパッチを適用したバージョン 8.0.7、8.1.8、8.2.7、または 8.3.1にアップグレードすることが勧められています。GitHub セキュリティアドバイザリには、脆弱な URL パス、緩和策、および漏洩のタイムラインに関する詳細情報が含まれています。(CVE-2021-43798)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。バージョン 8.3.2および 7.5.12より前の Grafana には、完全に小文字または完全に大文字の .md ファイルに対するディレクトリトラバーサルの脆弱性が含まれています。この脆弱性は範囲が限定されており、認証されたユーザーのみが、拡張子が .md のファイルにアクセスできます。Grafana Cloud インスタンスはこの脆弱性の影響を受けていません。ユーザーはパッチを適用したバージョン 8.3.2または 7.5.12にアップグレードする必要があります。アップグレードできないユーザーの場合、リクエストの PATH を正規化する Grafana の前でリバースプロキシを実行すると、この脆弱性が緩和されます。プロキシは、URL エンコードされたパスも処理できる必要があります。または、完全に小文字または完全に大文字の .md ファイルの場合、ユーザーは、インライン化されたプラグインヘルプテキスト以外の機能を失うことなく、/api/plugins/.*/markdown/.* をブロックできます。(CVE-2021-43813)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。バージョン 8.3.2および 7.5.12より前の Grafana には、任意の .csv ファイルに対するディレクトリトラバーサルがあります。これは、TestData DB データソースと呼ばれる開発者用テストツールが有効化され、構成されているインスタンスにのみ影響します。この脆弱性は範囲が限定されており、認証されたユーザーのみが、拡張子が .csv のファイルにアクセスできます。Grafana Cloud インスタンスはこの脆弱性の影響を受けていません。バージョン 8.3.2および 7.5.12には、この問題に対するパッチが含まれています。アップグレードできないユーザーが利用できる回避策があります。リクエストの PATH を正規化する Grafana の前でリバースプロキシを実行すると、この脆弱性が緩和されます。プロキシは、URL エンコードされたパスも処理できる必要があります。(CVE-2021-43815)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。影響を受けるバージョンでは、データソースで Forward OAuth Identity 機能が有効になっている場合、API トークン (他のユーザー認証情報なし)でそのデータソースに対してクエリを送信すると、最後にログインしたユーザーの OAuth Identity が転送されます。
    これにより、API トークン保有者は、意図されたアクセス権がないデータを取得する可能性があります。この攻撃は、Forward OAuth Identity 機能をサポートするデータソースを持つ Grafana インスタンス、Forward OAuth Identity 機能がオンに切り替えられたデータソースを持つ Grafana インスタンス、OAuth が有効な Grafana インスタンス、および使用可能な API キーを持つ Grafana インスタンスに依存しています。この問題には、バージョン 7.5.13および 8.3.4でパッチが適用されています。(CVE-2022-21673)

  - client_golang は、Prometheus の Go アプリケーション用のインストルメンテーションライブラリであり、client_golang の promhttp パッケージは、HTTP サーバーおよびクライアントに関連するツールを提供します。バージョン 1.11.1より前の client_golang では、HTTP サーバーは、非標準の HTTP メソッドでリクエストを処理する際に、無制限のカーディナリティによる潜在的なサービス拒否やメモリ枯渇の可能性があります。影響を受けるのは、インストルメント化されたソフトウェアは「RequestsInFlight」を除く「promhttp.InstrumentHandler *」ミドルウェアのいずれかを使用する場合です。
    ミドルウェアの前に特定のメソッド (例:GET) をフィルタリングせず、「method」ラベル名のメトリクスをミドルウェアに渡し、不明な「メソッド」を持つリクエストをフィルタリングする firewall/LB/proxy がありません。
    client_golang バージョン 1.11.1には、この問題のパッチが含まれています。いくつかの回避策が利用可能です。これには、InstrumentHandler で使用されるカウンター/ゲージからの「メソッド」ラベル名の削除が含まれます。影響を受ける promhttp ハンドラーをオフにします。Promhttp ハンドラーの前にカスタムミドルウェアを追加し、Go http.Request によって指定されたリクエストメソッドをサニタイズします。リバースプロキシまたは Web アプリケーションファイアウォールを使用し、一部のメソッドのみを許可するように構成されています。(CVE-2022-21698)

  - Grafanaは、監視および可観測性のためのオープンソースプラットフォームです。影響を受けるバージョンでは、攻撃者が Grafana データソースまたはプラグインプロキシを通じて HTML コンテンツを提供し、特別に細工されたリンクを使用してユーザーを騙してこの HTML ページにアクセスさせ、クロスサイトスクリプティング (XSS)攻撃を実行する可能性があります。攻撃者は、特定の Grafana インスタンスの既存のデータソースを侵害するか、独自のパブリックサービスを設定し、誰かに Grafana インスタンスで設定するように命令する可能性があります。影響を受けるのは、以下のすべてが該当する場合です。データソースプロキシ：Access Mode および URL としてサーバーで構成された Grafana HTTP ベースデータソース。攻撃者は、上記のデータソースの URL を提供する HTTP サーバーを制御している必要があり、攻撃者が制御しているデータソースをポイントする特別に細工されたリンクをクリックする必要があります。プラグインプロキシの場合: URL で構成され、有効化されている Grafana HTTP ベースのアプリプラグイン。攻撃者は、上記のアプリの URL を提供する HTTP サーバーを制御している必要があり、攻撃者が制御するプラグインをポイントする特別に細工されたリンクは、認証されたユーザーによってクロックオンされる必要があります。バックエンドプラグインリソースの場合: 攻撃者は、細工されたリンクを通じて、認証されたユーザーを侵害されたプラグインに誘導できる必要があります。ユーザーは、パッチを適用したバージョンに更新することが推奨されています。この脆弱性に対する既知の回避策はありません。(CVE-2022-21702)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。影響を受けるバージョンは、クロスサイトリクエストフォージェリの脆弱性の対象です。これにより、攻撃者は、認証された強い権限の Grafana ユーザー (たとえば、編集者や管理者)に対してクロスオリジン攻撃を仕掛けることにより、権限を昇格できます。
    攻撃者は権限昇格に関するこの脆弱性を悪用し、認証されたユーザーを騙して、強い権限を持つ新しいユーザーとして攻撃者を招待する可能性があります。ユーザーは、至急アップグレードすることが勧められています。この問題についての既知の回避策はありません。(CVE-2022-21703)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。影響を受けるバージョンの Grafana が、ユーザー承認を適切に処理しない複数の API エンドポイントを公開します。「/ teams /: teamId」では、認証された攻撃者が特定のチーム ID に対してクエリすることで意図されていないデータを表示することができるようになります。「/teams/: search」では、認証された攻撃者がチームを検索して、ユーザーがアクセスできないチームを含む、利用可能なチームの総数を確認する可能性があります。また、「/teams/: teamId/members」では、editors_can_admin フラグが有効な場合、認証された攻撃者が特定のチーム ID をクエリすることで意図しないデータを表示する可能性があります。
    ユーザーは、至急アップグレードすることが勧められています。この問題についての既知の回避策はありません。
    (CVE-2022-21713)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートのCentOS Linux 8ホストにインストールされているパッケージは、CESA-2022: 1781 アドバイザリに記載されている脆弱性の影響を受けます。

  - grafana：ディレクトリトラバーサル脆弱性 (CVE-2021-43813)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。

リモートのAlmaLinux 8ホストには、ALSA-2022:1781アドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。バージョン 8.3.2および 7.5.12より前の Grafana には、完全に小文字または完全に大文字の .md ファイルに対するディレクトリトラバーサルの脆弱性が含まれています。この脆弱性は範囲が限定されており、認証されたユーザーのみが、拡張子が .md のファイルにアクセスできます。Grafana Cloud インスタンスはこの脆弱性の影響を受けていません。ユーザーはパッチを適用したバージョン 8.3.2または 7.5.12にアップグレードする必要があります。アップグレードできないユーザーの場合、リクエストの PATH を正規化する Grafana の前でリバースプロキシを実行すると、この脆弱性が緩和されます。プロキシは、URL エンコードされたパスも処理できる必要があります。または、完全に小文字または完全に大文字の .md ファイルの場合、ユーザーは、インライン化されたプラグインヘルプテキスト以外の機能を失うことなく、/api/plugins/.*/markdown/.* をブロックできます。(CVE-2021-43813)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートのOracle Linux 8ホストに、ELSA-2022-1781アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - Grafanaは、監視および可観測性のためのオープンソースプラットフォームです。バージョン 8.3.2および 7.5.12より前の Grafana には、完全に小文字または完全に大文字の .md ファイルに対するディレクトリトラバーサルの脆弱性が含まれています。この脆弱性は範囲が限定されており、認証されたユーザーのみが、拡張子が .md のファイルにアクセスできます。Grafana Cloud インスタンスはこの脆弱性の影響を受けていません。ユーザーはパッチを適用したバージョン 8.3.2または 7.5.12にアップグレードする必要があります。アップグレードできないユーザーの場合、リクエストの PATH を正規化する Grafana の前でリバースプロキシを実行すると、この脆弱性が緩和されます。プロキシは、URL エンコードされたパスも処理できる必要があります。または、完全に小文字または完全に大文字の .md ファイルの場合、ユーザーは、インライン化されたプラグインヘルプテキスト以外の機能を失うことなく、/api/plugins/.*/markdown/.* をブロックできます。(CVE-2021-43813)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートのRocky Linux 8ホストには、RLSA-2022:1781アドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。バージョン 8.3.2および 7.5.12より前の Grafana には、完全に小文字または完全に大文字の .md ファイルに対するディレクトリトラバーサルの脆弱性が含まれています。この脆弱性は範囲が限定されており、認証されたユーザーのみが、拡張子が .md のファイルにアクセスできます。Grafana Cloud インスタンスはこの脆弱性の影響を受けていません。ユーザーはパッチを適用したバージョン 8.3.2または 7.5.12にアップグレードする必要があります。アップグレードできないユーザーの場合、リクエストの PATH を正規化する Grafana の前でリバースプロキシを実行すると、この脆弱性が緩和されます。プロキシは、URL エンコードされたパスも処理できる必要があります。または、完全に小文字または完全に大文字の .md ファイルの場合、ユーザーは、インライン化されたプラグインヘルプテキスト以外の機能を失うことなく、/api/plugins/.*/markdown/.* をブロックできます。(CVE-2021-43813)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。バージョン 8.3.2および 7.5.12より前の Grafana には、完全に小文字または完全に大文字の .md ファイルに対するディレクトリトラバーサルの脆弱性が含まれています。この脆弱性は範囲が限定されており、認証されたユーザーのみが、拡張子が .md のファイルにアクセスできます。Grafana Cloud インスタンスはこの脆弱性の影響を受けていません。ユーザーはパッチを適用したバージョン 8.3.2または 7.5.12にアップグレードする必要があります。アップグレードできないユーザーの場合、リクエストの PATH を正規化する Grafana の前でリバースプロキシを実行すると、この脆弱性が緩和されます。プロキシは、URL エンコードされたパスも処理できる必要があります。または、完全に小文字または完全に大文字の .md ファイルの場合、ユーザーは、インライン化されたプラグインヘルプテキスト以外の機能を失うことなく、/api/plugins/.*/markdown/.* をブロックできます。(CVE-2021-43813)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの openSUSE 15 ホストには、SUSE-SU-2022:1396-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  -1.18.4より前および1.19.2より前の1.19.xのMIT Kerberos 5 (別名krb5) のKey Distribution Center (KDC) におけるkdc/kdc_preauth_ec.cのec_verifyにより、リモートの攻撃者はNULLポインターデリファレンスおよびデーモンのクラッシュを引き起こすことができます。これは、特定の状況で戻り値が適切に管理されないことが原因で発生します。(CVE-2021-36222)

  -SM2暗号化データを復号するには、アプリケーションがAPI関数EVP_PKEY_decrypt()を呼び出す必要があります。通常、アプリケーションはこの関数を2回呼び出します。初回の入力時点ではoutパラメーターはNULLにできます。また終了時点でoutlenパラメーターには、復号された平文を保持するために必要なバッファサイズでデータが投入されます。その後、アプリケーションは十分なサイズのバッファを割り振り、EVP_PKEY_decrypt()を再び呼び出すことができますが、今回、outパラメーターにNULL以外の値が渡されました。SM2復号化コードの実装におけるバグにより、EVP_PKEY_decrypt()の初回呼び出しに必要な平文を保持するために求められるバッファサイズの計算が、2回目の呼び出しで必要となる実際のサイズよりも小さくなることがあります。これにより、アプリケーションがEVP_PKEY_decrypt()を2回目に呼び出すときにバッファが小さすぎるため、バッファオーバーフローが引き起こされる可能性があります。アプリケーションに対して復号化するためのSM2コンテンツを提示できる悪意のある攻撃者は、選択したデータに関してバッファを最大62バイトまでオーバーフローさせ、バッファ後に保持される他のデータコンテンツを変更することができます。それにより、アプリケーションの動作が変更されたり、アプリケーションがクラッシュされたりする可能性があります。バッファの場所はアプリケーションによって異なりますが、通常はヒープに割り当てられます。OpenSSL 1.1.1l で修正されました (1.1.1-1.1.1k が影響を受けます)。
    (CVE-2021-3711)

  -Grafanaは、オープンソースのデータ視覚化プラットフォームです。影響を受けるバージョンでは、認証されていないユーザーおよび認証されたユーザーが、リテラルパスにアクセスすることで、最も低いデータベースキーでスナップショットを表示できます。/dashboard/snapshot/: key、または/api/snapshots/: key。スナップショットpublic_mode構成設定がtrue (デフォルトはfalse) に設定されている場合、認証されていないユーザーは、リテラルパスにアクセスすることで、最も低いデータベースキーでスナップショットを削除できます。/api/snapshots-delete/: deleteKey。スナップショットpublic_modeの設定に関わらず、認証されているユーザーは、リテラルパスにアクセスすることで、最も低いデータベースキーでスナップショットを削除できます。/api/snapshots/: key、または/api/snapshots-delete/: deleteKey。削除と表示の組み合わせにより、すべてのスナップショットデータを完全にウォークスルーすることができますが、スナップショットデータは完全に失われます。この問題はバージョン8.1.6および7.5.11で解決済みです。何らかの理由でアップグレードできない場合は、リバースプロキシなどを使用して、リテラルパスへのアクセスをブロックできます。
    /api/snapshots/: key、/api/snapshots-delete/: deleteKey、/dashboard/snapshot/: key、および/api/snapshots/: key。
    これらには通常の機能がなく、制度エフェクトなしに無効化できます。(CVE-2021-39226)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。影響を受けるバージョンでは、攻撃者が被害者に、脆弱なページを参照している URL にアクセスするよう誘導することができる場合、任意の JavaScript コンテンツが被害者のブラウザのコンテキスト内で実行される可能性があります。悪意のあるリンクにアクセスするユーザーは認証されていない必要があり、リンクはメニューバーのログインボタンを含むページに対するものである必要があります。AngularJS レンダリングを悪用し、AngularJS 式の補間バインディングを含めるために、URL を細工する必要があります。AngularJS は、補間バインディングに二重中括弧を使用しています：{{}}例：
    {{constructor.constructor(alert(1)')()}}。ユーザーがリンクをたどり、ページがレンダリングされると、ログインボタンに、ログインページへのリダイレクトを強制するクエリパラメーターのある元のリンクが含まれます。URL は検証されず、AngularJS レンダリングエンジンは URL に含まれる JavaScript 式を実行します。ユーザーは、至急アップグレードすることが勧められています。何らかの理由でアップグレードできない場合は、リバースプロキシなどを使用して、パスのリテラルストリング {{ へのアクセスをブロックできます。
    (CVE-2021-41174)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。影響を受けるバージョンでは、きめ細かいアクセスコントロールのベータ機能が有効で、Grafana インスタンスに複数の組織がある場合、管理者は他の組織のユーザーにアクセスできます。Grafana 8.0では、Organization Admin ロールを持つユーザーが、自分が管理者でない他の組織のユーザーのロールを一覧表示、追加、削除、更新できるメカニズムを導入しました。粒度の細かいアクセスコントロールを有効にすると、組織管理者は、組織管理者ロールのない別の組織のユーザーのロールを一覧表示、追加、削除、更新できます。粒度の細かいアクセスコントロールのベータが有効になっていて、複数の組織がいる v8.0 と v8.2.3 の間のすべてのインストールは、できるだけ早くアップグレードする必要があります。アップグレードできない場合は、機能フラグを使用して、粒度の細かいアクセスコントロールをオフにする必要があります。(CVE-2021-41244)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。Grafana バージョン 8.0.0-beta1 から 8.3.0(パッチを適用したバージョンは除く) は、ディレクトリトラバーサルに対して脆弱であり、ローカルファイルへのアクセスを許可します。
    脆弱な URL パスは次のとおりです。「<grafana_host_url>/public/plugins//」はインストールされているプラグインのプラグイン ID です。Grafana Cloud が脆弱になったことは一度もありません。ユーザーはパッチを適用したバージョン 8.0.7、8.1.8、8.2.7、または 8.3.1にアップグレードすることが勧められています。GitHub セキュリティアドバイザリには、脆弱な URL パス、緩和策、および漏洩のタイムラインに関する詳細情報が含まれています。(CVE-2021-43798)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。バージョン 8.3.2および 7.5.12より前の Grafana には、完全に小文字または完全に大文字の .md ファイルに対するディレクトリトラバーサルの脆弱性が含まれています。この脆弱性は範囲が限定されており、認証されたユーザーのみが、拡張子が .md のファイルにアクセスできます。Grafana Cloud インスタンスはこの脆弱性の影響を受けていません。ユーザーはパッチを適用したバージョン 8.3.2または 7.5.12にアップグレードする必要があります。アップグレードできないユーザーの場合、リクエストの PATH を正規化する Grafana の前でリバースプロキシを実行すると、この脆弱性が緩和されます。プロキシは、URL エンコードされたパスも処理できる必要があります。または、完全に小文字または完全に大文字の .md ファイルの場合、ユーザーは、インライン化されたプラグインヘルプテキスト以外の機能を失うことなく、/api/plugins/.*/markdown/.* をブロックできます。(CVE-2021-43813)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。バージョン 8.3.2および 7.5.12より前の Grafana には、任意の .csv ファイルに対するディレクトリトラバーサルがあります。これは、TestData DB データソースと呼ばれる開発者用テストツールが有効化され、構成されているインスタンスにのみ影響します。この脆弱性は範囲が限定されており、認証されたユーザーのみが、拡張子が .csv のファイルにアクセスできます。Grafana Cloud インスタンスはこの脆弱性の影響を受けていません。バージョン 8.3.2および 7.5.12には、この問題に対するパッチが含まれています。アップグレードできないユーザーが利用できる回避策があります。リクエストの PATH を正規化する Grafana の前でリバースプロキシを実行すると、この脆弱性が緩和されます。プロキシは、URL エンコードされたパスも処理できる必要があります。(CVE-2021-43815)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。影響を受けるバージョンでは、データソースで Forward OAuth Identity 機能が有効になっている場合、API トークン (他のユーザー認証情報なし)でそのデータソースに対してクエリを送信すると、最後にログインしたユーザーの OAuth Identity が転送されます。
    これにより、API トークン保有者は、意図されたアクセス権がないデータを取得する可能性があります。この攻撃は、Forward OAuth Identity 機能をサポートするデータソースを持つ Grafana インスタンス、Forward OAuth Identity 機能がオンに切り替えられたデータソースを持つ Grafana インスタンス、OAuth が有効な Grafana インスタンス、および使用可能な API キーを持つ Grafana インスタンスに依存しています。この問題には、バージョン 7.5.13および 8.3.4でパッチが適用されています。(CVE-2022-21673)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。影響を受けるバージョンでは、攻撃者が Grafana データソースまたはプラグインプロキシを通じて HTML コンテンツを提供し、特別に細工されたリンクを使用してユーザーを騙してこの HTML ページにアクセスさせ、クロスサイトスクリプティング (XSS)攻撃を実行する可能性があります。攻撃者は、特定の Grafana インスタンスの既存のデータソースを侵害するか、独自のパブリックサービスを設定し、誰かに Grafana インスタンスで設定するように命令する可能性があります。影響を受けるのは、以下のすべてが該当する場合です。データソースプロキシ: Access Mode および URL としてサーバーで構成された Grafana HTTP ベースデータソース。攻撃者は、上記のデータソースの URL を提供する HTTP サーバーを制御している必要があり、攻撃者が制御しているデータソースをポイントする特別に細工されたリンクをクリックする必要があります。プラグインプロキシの場合: URL で構成され、有効化されている Grafana HTTP ベースのアプリプラグイン。攻撃者は、上記のアプリの URL を提供する HTTP サーバーを制御している必要があり、攻撃者が制御するプラグインをポイントする特別に細工されたリンクは、認証されたユーザーによってクロックオンされる必要があります。バックエンドプラグインリソースの場合: 攻撃者は、細工されたリンクを通じて、認証されたユーザーを侵害されたプラグインに誘導できる必要があります。ユーザーは、パッチを適用したバージョンに更新することが推奨されています。この脆弱性に対する既知の回避策はありません。(CVE-2022-21702)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。影響を受けるバージョンは、クロスサイトリクエストフォージェリの脆弱性の対象です。これにより、攻撃者は、認証された強い権限の Grafana ユーザー (たとえば、編集者や管理者)に対してクロスオリジン攻撃を仕掛けることにより、権限を昇格できます。
    攻撃者は権限昇格に関するこの脆弱性を悪用し、認証されたユーザーを騙して、強い権限を持つ新しいユーザーとして攻撃者を招待する可能性があります。ユーザーは、至急アップグレードすることが勧められています。この問題についての既知の回避策はありません。(CVE-2022-21703)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。影響を受けるバージョンの Grafana が、ユーザー承認を適切に処理しない複数の API エンドポイントを公開します。「/ teams /: teamId」では、認証された攻撃者が特定のチーム ID に対してクエリすることで意図されていないデータを表示することができるようになります。「/teams/: search」では、認証された攻撃者がチームを検索して、ユーザーがアクセスできないチームを含む、利用可能なチームの総数を確認する可能性があります。また、「/teams/: teamId/members」では、editors_can_admin フラグが有効な場合、認証された攻撃者が特定のチーム ID をクエリすることで意図しないデータを表示する可能性があります。
    ユーザーは、至急アップグレードすることが勧められています。この問題についての既知の回避策はありません。
    (CVE-2022-21713)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの SUSE Linux SUSE15ホストには、openSUSE-SU-2022:0140-1のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  -Grafanaは、オープンソースのデータ視覚化プラットフォームです。影響を受けるバージョンでは、認証されていないユーザーおよび認証されたユーザーが、リテラルパスにアクセスすることで、最も低いデータベースキーでスナップショットを表示できます。/dashboard/snapshot/: key、または/api/snapshots/: key。スナップショットpublic_mode構成設定がtrue (デフォルトはfalse) に設定されている場合、認証されていないユーザーは、リテラルパスにアクセスすることで、最も低いデータベースキーでスナップショットを削除できます。/api/snapshots-delete/: deleteKey。スナップショットpublic_modeの設定に関わらず、認証されているユーザーは、リテラルパスにアクセスすることで、最も低いデータベースキーでスナップショットを削除できます。/api/snapshots/: key、または/api/snapshots-delete/: deleteKey。削除と表示の組み合わせにより、すべてのスナップショットデータを完全にウォークスルーすることができますが、スナップショットデータは完全に失われます。この問題はバージョン8.1.6および7.5.11で解決済みです。何らかの理由でアップグレードできない場合は、リバースプロキシなどを使用して、リテラルパスへのアクセスをブロックできます。
    /api/snapshots/: key、/api/snapshots-delete/: deleteKey、/dashboard/snapshot/: key、および/api/snapshots/: key。
    これらには通常の機能がなく、制度エフェクトなしに無効化できます。(CVE-2021-39226)

  - Grafanaは、監視および可観測性のためのオープンソースプラットフォームです。バージョン 8.3.2および 7.5.12より前の Grafana には、完全に小文字または完全に大文字の .md ファイルに対するディレクトリトラバーサルの脆弱性が含まれています。この脆弱性は範囲が限定されており、認証されたユーザーのみが、拡張子が .md のファイルにアクセスできます。Grafana Cloud インスタンスはこの脆弱性の影響を受けていません。ユーザーはパッチを適用したバージョン 8.3.2または 7.5.12にアップグレードする必要があります。アップグレードできないユーザーの場合、リクエストの PATH を正規化する Grafana の前でリバースプロキシを実行すると、この脆弱性が緩和されます。プロキシは、URL エンコードされたパスも処理できる必要があります。または、完全に小文字または完全に大文字の .md ファイルの場合、ユーザーは、インライン化されたプラグインヘルプテキスト以外の機能を失うことなく、/api/plugins/.*/markdown/.* をブロックできます。(CVE-2021-43813)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの openSUSE 15 ホストには、SUSE-SU-2022:4437-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  -1.18.4より前および1.19.2より前の1.19.xのMIT Kerberos 5 (別名krb5) のKey Distribution Center (KDC) におけるkdc/kdc_preauth_ec.cのec_verifyにより、リモートの攻撃者はNULLポインターデリファレンスおよびデーモンのクラッシュを引き起こすことができます。これは、特定の状況で戻り値が適切に管理されないことが原因で発生します。(CVE-2021-36222)

  -SM2暗号化データを復号するには、アプリケーションがAPI関数EVP_PKEY_decrypt()を呼び出す必要があります。通常、アプリケーションはこの関数を2回呼び出します。初回の入力時点ではoutパラメーターはNULLにできます。また終了時点でoutlenパラメーターには、復号された平文を保持するために必要なバッファサイズでデータが投入されます。その後、アプリケーションは十分なサイズのバッファを割り振り、EVP_PKEY_decrypt()を再び呼び出すことができますが、今回、outパラメーターにNULL以外の値が渡されました。SM2復号化コードの実装におけるバグにより、EVP_PKEY_decrypt()の初回呼び出しに必要な平文を保持するために求められるバッファサイズの計算が、2回目の呼び出しで必要となる実際のサイズよりも小さくなることがあります。これにより、アプリケーションがEVP_PKEY_decrypt()を2回目に呼び出すときにバッファが小さすぎるため、バッファオーバーフローが引き起こされる可能性があります。アプリケーションに対して復号化するためのSM2コンテンツを提示できる悪意のある攻撃者は、選択したデータに関してバッファを最大62バイトまでオーバーフローさせ、バッファ後に保持される他のデータコンテンツを変更することができます。それにより、アプリケーションの動作が変更されたり、アプリケーションがクラッシュされたりする可能性があります。バッファの場所はアプリケーションによって異なりますが、通常はヒープに割り当てられます。OpenSSL 1.1.1l で修正されました (1.1.1-1.1.1k が影響を受けます)。
    (CVE-2021-3711)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。影響を受けるバージョンでは、攻撃者が被害者に、脆弱なページを参照している URL にアクセスするよう誘導することができる場合、任意の JavaScript コンテンツが被害者のブラウザのコンテキスト内で実行される可能性があります。悪意のあるリンクにアクセスするユーザーは認証されていない必要があり、リンクはメニューバーのログインボタンを含むページに対するものである必要があります。AngularJS レンダリングを悪用し、AngularJS 式の補間バインディングを含めるために、URL を細工する必要があります。AngularJS は、補間バインディングに二重中括弧を使用しています：{{}}例：
    {{constructor.constructor(alert(1)')()}}。ユーザーがリンクをたどり、ページがレンダリングされると、ログインボタンに、ログインページへのリダイレクトを強制するクエリパラメーターのある元のリンクが含まれます。URL は検証されず、AngularJS レンダリングエンジンは URL に含まれる JavaScript 式を実行します。ユーザーは、至急アップグレードすることが勧められています。何らかの理由でアップグレードできない場合は、リバースプロキシなどを使用して、パスのリテラルストリング {{ へのアクセスをブロックできます。
    (CVE-2021-41174)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。影響を受けるバージョンでは、きめ細かいアクセスコントロールのベータ機能が有効で、Grafana インスタンスに複数の組織がある場合、管理者は他の組織のユーザーにアクセスできます。Grafana 8.0では、Organization Admin ロールを持つユーザーが、自分が管理者でない他の組織のユーザーのロールを一覧表示、追加、削除、更新できるメカニズムを導入しました。粒度の細かいアクセスコントロールを有効にすると、組織管理者は、組織管理者ロールのない別の組織のユーザーのロールを一覧表示、追加、削除、更新できます。粒度の細かいアクセスコントロールのベータが有効になっていて、複数の組織がいる v8.0 と v8.2.3 の間のすべてのインストールは、できるだけ早くアップグレードする必要があります。アップグレードできない場合は、機能フラグを使用して、粒度の細かいアクセスコントロールをオフにする必要があります。(CVE-2021-41244)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。Grafana バージョン 8.0.0-beta1 から 8.3.0(パッチを適用したバージョンは除く) は、ディレクトリトラバーサルに対して脆弱であり、ローカルファイルへのアクセスを許可します。
    脆弱な URL パスは次のとおりです。「<grafana_host_url>/public/plugins//」はインストールされているプラグインのプラグイン ID です。Grafana Cloud が脆弱になったことは一度もありません。ユーザーはパッチを適用したバージョン 8.0.7、8.1.8、8.2.7、または 8.3.1にアップグレードすることが勧められています。GitHub セキュリティアドバイザリには、脆弱な URL パス、緩和策、および漏洩のタイムラインに関する詳細情報が含まれています。(CVE-2021-43798)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。バージョン 8.3.2および 7.5.12より前の Grafana には、完全に小文字または完全に大文字の .md ファイルに対するディレクトリトラバーサルの脆弱性が含まれています。この脆弱性は範囲が限定されており、認証されたユーザーのみが、拡張子が .md のファイルにアクセスできます。Grafana Cloud インスタンスはこの脆弱性の影響を受けていません。ユーザーはパッチを適用したバージョン 8.3.2または 7.5.12にアップグレードする必要があります。アップグレードできないユーザーの場合、リクエストの PATH を正規化する Grafana の前でリバースプロキシを実行すると、この脆弱性が緩和されます。プロキシは、URL エンコードされたパスも処理できる必要があります。または、完全に小文字または完全に大文字の .md ファイルの場合、ユーザーは、インライン化されたプラグインヘルプテキスト以外の機能を失うことなく、/api/plugins/.*/markdown/.* をブロックできます。(CVE-2021-43813)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。バージョン 8.3.2および 7.5.12より前の Grafana には、任意の .csv ファイルに対するディレクトリトラバーサルがあります。これは、TestData DB データソースと呼ばれる開発者用テストツールが有効化され、構成されているインスタンスにのみ影響します。この脆弱性は範囲が限定されており、認証されたユーザーのみが、拡張子が .csv のファイルにアクセスできます。Grafana Cloud インスタンスはこの脆弱性の影響を受けていません。バージョン 8.3.2および 7.5.12には、この問題に対するパッチが含まれています。アップグレードできないユーザーが利用できる回避策があります。リクエストの PATH を正規化する Grafana の前でリバースプロキシを実行すると、この脆弱性が緩和されます。プロキシは、URL エンコードされたパスも処理できる必要があります。(CVE-2021-43815)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。Grafana Enterprise では、リクエストセキュリティ機能により、インスタンスが特定のホストを呼び出さないように、または特定のホストのみを呼び出すように Grafana を構成できます。7.4.0-beta1 で始まり、バージョン 7.5.16 および 8.5.3より前のバージョンの脆弱性により、(許可されたホストで実行されている) 悪意のあるデータソースが禁止されたホストに HTTP リダイレクトを返す場合、誰かがこれらのセキュリティ構成をバイパスする可能性があります。この脆弱性は、リクエストセキュリティ許可リストが使用され、HTTP リダイレクトを返すカスタムデータソースを Grafana に追加する可能性がある場合にのみ、Grafana Enterprise に影響を与えます。このシナリオでは、Grafana は盲目的にリダイレクトに従い、安全な情報をクライアントに提供する可能性があります。Grafana Cloud はこの脆弱性の影響を受けません。バージョン 7.5.16および 8.5.3には、この問題に対するパッチが含まれています。現在、既知の回避策はありません。(CVE-2022-29170)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。9.0.3、8.5.9、8.4.10、および 8.3.10より前の 8.xおよび 9.xブランチのバージョンは、Grafana の統合アラート機能を介して、保存されているクロスサイトスクリプティングに対して脆弱です。攻撃者がこの脆弱性を悪用し、認証された管理者を騙してリンクをクリックさせることで、権限を編集者から管理者に昇格させる可能性があります。バージョン 9.0.3、8.5.9、8.4.10、8.3.10 にはパッチが含まれています。回避策として、アラートを無効にするか、レガシーアラートを使用することができます。
    (CVE-2022-31097)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。9.0.3、8.5.9、8.4.10、8.3.10 までのバージョン 5.3では、認証されている悪意のあるユーザーが、ログイン名を提供する構成済みの OAuth IdP を介して Grafana インスタンスにログインし、その Grafana インスタンスの別のユーザーのアカウントを乗っ取る可能性があります。悪意のあるユーザーが OAuth 経由で Grafana へのログインを承認され、悪意のあるユーザーの外部ユーザー ID が Grafana のアカウントに関連付けられておらず、悪意のあるユーザーのメールアドレスがGrafanaのアカウントに関連付けられておらず、悪意のあるユーザーがターゲットユーザーの Grafana ユーザー名を知っている場合に、これが発生する可能性があります。これらの条件が満たされた場合、悪意のあるユーザーが OAuth プロバイダーのユーザー名をターゲットユーザーのユーザー名に設定し、OAuth フローを通過して Grafana にログインする可能性があります。上記の条件がすべて満たされている場合、ログイン中に外部ユーザーアカウントと内部ユーザーアカウントがリンクされる方法が原因で、悪意のあるユーザーがターゲットユーザーの Grafana アカウントにログインする可能性があります。バージョン 9.0.3、8.5.9、8.4.10、8.3.10 には、この問題に対するパッチが含まれています。回避策として、関係するユーザーは Grafana インスタンスへの OAuth ログインを無効にするか、OAuth 経由でログインする権限があるすべてのユーザーに、対応する Grafana のユーザーアカウントをメールアドレスにリンクさせることができます。
    (CVE-2022-31107)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。9.1.6 および 8.5.13より前のバージョンは、認証プロキシが使用されている場合、管理者からサーバー管理者への昇格に対して脆弱です。これにより、管理者がサーバー管理者アカウントを乗っ取り、grafana インスタンスを完全にコントロールできるようになります。すべてのインストールは、できるだけ早くアップグレードする必要があります。回避策として、次の URL の指示に従って auth プロキシを非アクティブ化してください。
    https://grafana.com/docs/grafana/latest/setup-grafana/configure-security/configure-authentication/auth-proxy/ (CVE-2022-35957)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。8.5.13、9.0.9、および 9.1.6より前のバージョンでは、Grafana が権限の不適切な保存の影響を受け、一部のフォルダで権限昇格が発生し、Admin のみが使用する権限を取得します。この脆弱性は、RBAC を無効化し、その後に有効化した Grafana インスタンスに影響を与えます。というのも、従来のフォルダ権限を RBAC の権限に変換する移行では、フォルダ内の唯一のユーザー権限が Admin であるシナリオが考慮されていないからです。その結果、RBAC は Editor と Viewer に対して、フォルダの編集と閲覧を可能にする権限を追加します。この問題には、バージョン 8.5.13、9.0.9 および 9.1.6でパッチが適用されています。影響を受けるフォルダ/ダッシュボードが判明している場合の回避策は、追加の権限を手動で削除することです。
    (CVE-2022-36062)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの SUSE Linux SLED15 / SLES15 / openSUSE 15 ホストには、SUSE-SU-2022:4428-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  -1.18.4より前および1.19.2より前の1.19.xのMIT Kerberos 5 (別名krb5) のKey Distribution Center (KDC) におけるkdc/kdc_preauth_ec.cのec_verifyにより、リモートの攻撃者はNULLポインターデリファレンスおよびデーモンのクラッシュを引き起こすことができます。これは、特定の状況で戻り値が適切に管理されないことが原因で発生します。(CVE-2021-36222)

  -SM2暗号化データを復号するには、アプリケーションがAPI関数EVP_PKEY_decrypt()を呼び出す必要があります。通常、アプリケーションはこの関数を2回呼び出します。初回の入力時点ではoutパラメーターはNULLにできます。また終了時点でoutlenパラメーターには、復号された平文を保持するために必要なバッファサイズでデータが投入されます。その後、アプリケーションは十分なサイズのバッファを割り振り、EVP_PKEY_decrypt()を再び呼び出すことができますが、今回、outパラメーターにNULL以外の値が渡されました。SM2復号化コードの実装におけるバグにより、EVP_PKEY_decrypt()の初回呼び出しに必要な平文を保持するために求められるバッファサイズの計算が、2回目の呼び出しで必要となる実際のサイズよりも小さくなることがあります。これにより、アプリケーションがEVP_PKEY_decrypt()を2回目に呼び出すときにバッファが小さすぎるため、バッファオーバーフローが引き起こされる可能性があります。アプリケーションに対して復号化するためのSM2コンテンツを提示できる悪意のある攻撃者は、選択したデータに関してバッファを最大62バイトまでオーバーフローさせ、バッファ後に保持される他のデータコンテンツを変更することができます。それにより、アプリケーションの動作が変更されたり、アプリケーションがクラッシュされたりする可能性があります。バッファの場所はアプリケーションによって異なりますが、通常はヒープに割り当てられます。OpenSSL 1.1.1l で修正されました (1.1.1-1.1.1k が影響を受けます)。
    (CVE-2021-3711)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。影響を受けるバージョンでは、攻撃者が被害者に、脆弱なページを参照している URL にアクセスするよう誘導することができる場合、任意の JavaScript コンテンツが被害者のブラウザのコンテキスト内で実行される可能性があります。悪意のあるリンクにアクセスするユーザーは認証されていない必要があり、リンクはメニューバーのログインボタンを含むページに対するものである必要があります。AngularJS レンダリングを悪用し、AngularJS 式の補間バインディングを含めるために、URL を細工する必要があります。AngularJS は、補間バインディングに二重中括弧を使用しています：{{}}例：
    {{constructor.constructor(alert(1)')()}}。ユーザーがリンクをたどり、ページがレンダリングされると、ログインボタンに、ログインページへのリダイレクトを強制するクエリパラメーターのある元のリンクが含まれます。URL は検証されず、AngularJS レンダリングエンジンは URL に含まれる JavaScript 式を実行します。ユーザーは、至急アップグレードすることが勧められています。何らかの理由でアップグレードできない場合は、リバースプロキシなどを使用して、パスのリテラルストリング {{ へのアクセスをブロックできます。
    (CVE-2021-41174)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。影響を受けるバージョンでは、きめ細かいアクセスコントロールのベータ機能が有効で、Grafana インスタンスに複数の組織がある場合、管理者は他の組織のユーザーにアクセスできます。Grafana 8.0では、Organization Admin ロールを持つユーザーが、自分が管理者でない他の組織のユーザーのロールを一覧表示、追加、削除、更新できるメカニズムを導入しました。粒度の細かいアクセスコントロールを有効にすると、組織管理者は、組織管理者ロールのない別の組織のユーザーのロールを一覧表示、追加、削除、更新できます。粒度の細かいアクセスコントロールのベータが有効になっていて、複数の組織がいる v8.0 と v8.2.3 の間のすべてのインストールは、できるだけ早くアップグレードする必要があります。アップグレードできない場合は、機能フラグを使用して、粒度の細かいアクセスコントロールをオフにする必要があります。(CVE-2021-41244)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。Grafana バージョン 8.0.0-beta1 から 8.3.0(パッチを適用したバージョンは除く) は、ディレクトリトラバーサルに対して脆弱であり、ローカルファイルへのアクセスを許可します。
    脆弱な URL パスは次のとおりです。「<grafana_host_url>/public/plugins//」はインストールされているプラグインのプラグイン ID です。Grafana Cloud が脆弱になったことは一度もありません。ユーザーはパッチを適用したバージョン 8.0.7、8.1.8、8.2.7、または 8.3.1にアップグレードすることが勧められています。GitHub セキュリティアドバイザリには、脆弱な URL パス、緩和策、および漏洩のタイムラインに関する詳細情報が含まれています。(CVE-2021-43798)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。バージョン 8.3.2および 7.5.12より前の Grafana には、完全に小文字または完全に大文字の .md ファイルに対するディレクトリトラバーサルの脆弱性が含まれています。この脆弱性は範囲が限定されており、認証されたユーザーのみが、拡張子が .md のファイルにアクセスできます。Grafana Cloud インスタンスはこの脆弱性の影響を受けていません。ユーザーはパッチを適用したバージョン 8.3.2または 7.5.12にアップグレードする必要があります。アップグレードできないユーザーの場合、リクエストの PATH を正規化する Grafana の前でリバースプロキシを実行すると、この脆弱性が緩和されます。プロキシは、URL エンコードされたパスも処理できる必要があります。または、完全に小文字または完全に大文字の .md ファイルの場合、ユーザーは、インライン化されたプラグインヘルプテキスト以外の機能を失うことなく、/api/plugins/.*/markdown/.* をブロックできます。(CVE-2021-43813)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。バージョン 8.3.2および 7.5.12より前の Grafana には、任意の .csv ファイルに対するディレクトリトラバーサルがあります。これは、TestData DB データソースと呼ばれる開発者用テストツールが有効化され、構成されているインスタンスにのみ影響します。この脆弱性は範囲が限定されており、認証されたユーザーのみが、拡張子が .csv のファイルにアクセスできます。Grafana Cloud インスタンスはこの脆弱性の影響を受けていません。バージョン 8.3.2および 7.5.12には、この問題に対するパッチが含まれています。アップグレードできないユーザーが利用できる回避策があります。リクエストの PATH を正規化する Grafana の前でリバースプロキシを実行すると、この脆弱性が緩和されます。プロキシは、URL エンコードされたパスも処理できる必要があります。(CVE-2021-43815)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。Grafana Enterprise では、リクエストセキュリティ機能により、インスタンスが特定のホストを呼び出さないように、または特定のホストのみを呼び出すように Grafana を構成できます。7.4.0-beta1 で始まり、バージョン 7.5.16 および 8.5.3より前のバージョンの脆弱性により、(許可されたホストで実行されている) 悪意のあるデータソースが禁止されたホストに HTTP リダイレクトを返す場合、誰かがこれらのセキュリティ構成をバイパスする可能性があります。この脆弱性は、リクエストセキュリティ許可リストが使用され、HTTP リダイレクトを返すカスタムデータソースを Grafana に追加する可能性がある場合にのみ、Grafana Enterprise に影響を与えます。このシナリオでは、Grafana は盲目的にリダイレクトに従い、安全な情報をクライアントに提供する可能性があります。Grafana Cloud はこの脆弱性の影響を受けません。バージョン 7.5.16および 8.5.3には、この問題に対するパッチが含まれています。現在、既知の回避策はありません。(CVE-2022-29170)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。9.0.3、8.5.9、8.4.10、および 8.3.10より前の 8.xおよび 9.xブランチのバージョンは、Grafana の統合アラート機能を介して、保存されているクロスサイトスクリプティングに対して脆弱です。攻撃者がこの脆弱性を悪用し、認証された管理者を騙してリンクをクリックさせることで、権限を編集者から管理者に昇格させる可能性があります。バージョン 9.0.3、8.5.9、8.4.10、8.3.10 にはパッチが含まれています。回避策として、アラートを無効にするか、レガシーアラートを使用することができます。
    (CVE-2022-31097)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。9.0.3、8.5.9、8.4.10、8.3.10 までのバージョン 5.3では、認証されている悪意のあるユーザーが、ログイン名を提供する構成済みの OAuth IdP を介して Grafana インスタンスにログインし、その Grafana インスタンスの別のユーザーのアカウントを乗っ取る可能性があります。悪意のあるユーザーが OAuth 経由で Grafana へのログインを承認され、悪意のあるユーザーの外部ユーザー ID が Grafana のアカウントに関連付けられておらず、悪意のあるユーザーのメールアドレスがGrafanaのアカウントに関連付けられておらず、悪意のあるユーザーがターゲットユーザーの Grafana ユーザー名を知っている場合に、これが発生する可能性があります。これらの条件が満たされた場合、悪意のあるユーザーが OAuth プロバイダーのユーザー名をターゲットユーザーのユーザー名に設定し、OAuth フローを通過して Grafana にログインする可能性があります。上記の条件がすべて満たされている場合、ログイン中に外部ユーザーアカウントと内部ユーザーアカウントがリンクされる方法が原因で、悪意のあるユーザーがターゲットユーザーの Grafana アカウントにログインする可能性があります。バージョン 9.0.3、8.5.9、8.4.10、8.3.10 には、この問題に対するパッチが含まれています。回避策として、関係するユーザーは Grafana インスタンスへの OAuth ログインを無効にするか、OAuth 経由でログインする権限があるすべてのユーザーに、対応する Grafana のユーザーアカウントをメールアドレスにリンクさせることができます。
    (CVE-2022-31107)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。9.1.6 および 8.5.13より前のバージョンは、認証プロキシが使用されている場合、管理者からサーバー管理者への昇格に対して脆弱です。これにより、管理者がサーバー管理者アカウントを乗っ取り、grafana インスタンスを完全にコントロールできるようになります。すべてのインストールは、できるだけ早くアップグレードする必要があります。回避策として、次の URL の指示に従って auth プロキシを非アクティブ化してください。
    https://grafana.com/docs/grafana/latest/setup-grafana/configure-security/configure-authentication/auth-proxy/ (CVE-2022-35957)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。8.5.13、9.0.9、および 9.1.6より前のバージョンでは、Grafana が権限の不適切な保存の影響を受け、一部のフォルダで権限昇格が発生し、Admin のみが使用する権限を取得します。この脆弱性は、RBAC を無効化し、その後に有効化した Grafana インスタンスに影響を与えます。というのも、従来のフォルダ権限を RBAC の権限に変換する移行では、フォルダ内の唯一のユーザー権限が Admin であるシナリオが考慮されていないからです。その結果、RBAC は Editor と Viewer に対して、フォルダの編集と閲覧を可能にする権限を追加します。この問題には、バージョン 8.5.13、9.0.9 および 9.1.6でパッチが適用されています。影響を受けるフォルダ/ダッシュボードが判明している場合の回避策は、追加の権限を手動で削除することです。
    (CVE-2022-36062)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの CentOS Linux 9 ホストに、grafana-9.0.9-1.el9 ビルド変更ログに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - XSS (CVE-2021-23648)

  - Grafana は、オープンソースのデータ視覚化プラットフォームです。影響を受けるバージョンでは、認証されていないユーザーおよび認証されたユーザーが、リテラルパス (/dashboard/snapshot/:key、または /api/snapshots/:key) にアクセスすることで、最も低いデータベースキーでスナップショットを表示できます。スナップショット public_mode 構成設定が true (デフォルトは false) に設定されている場合、認証されていないユーザーは、リテラルパス (/api/snapshots-delete/:deleteKey) にアクセスすることで、最も低いデータベースキーでスナップショットを削除できます。スナップショット public_mode の設定に関わらず、認証されているユーザーは、リテラルパス (/api/snapshots/:key、または /api/snapshots-delete/:deleteKey) にアクセスすることで、最も低いデータベースキーでスナップショットを削除できます。削除と表示の組み合わせにより、すべてのスナップショットデータを完全にウォークスルーすることができますが、スナップショットデータは完全に失われます。この問題はバージョン8.1.6および7.5.11で解決済みです。何らかの理由でアップグレードできない場合は、リバースプロキシなどを使用して、リテラルパスへのアクセスをブロックできます。
    /api/snapshots/:key、/api/snapshots-delete/:deleteKey、/dashboard/snapshot/:key、/api/snapshots/:key。
    これらには通常の機能がなく、制度エフェクトなしに無効化できます。(CVE-2021-39226)

  - *.md ファイルのディレクトリトラバーサル脆弱性 (CVE-2021-43813)

  - net/http: ヘッダー正規化キャッシュの増加を制限 (CVE-2021-44716)

  - net/http: Transfer-Encoding ヘッダーの不適切なサニタイズ (CVE-2022-1705)

  - go/parser: すべての Parse * 関数におけるスタックの枯渇 (CVE-2022-1962)

  - Forward OAuth Identity Token により、ユーザーは一部のデータソースにアクセスできる場合があります (CVE-2022-21673)

  - client_golang は、Prometheus の Go アプリケーション用のインストルメンテーションライブラリであり、client_golang の promhttp パッケージは、HTTP サーバーおよびクライアントに関連するツールを提供します。バージョン 1.11.1より前の client_golang では、HTTP サーバーは、非標準の HTTP メソッドでリクエストを処理する際に、無制限のカーディナリティによる潜在的なサービス拒否やメモリ枯渇の可能性があります。影響を受けるのは、インストルメント化されたソフトウェアは「RequestsInFlight」を除く「promhttp.InstrumentHandler *」ミドルウェアのいずれかを使用する場合です。
    ミドルウェアの前に特定のメソッド (例:GET) をフィルタリングせず、「method」ラベル名のメトリクスをミドルウェアに渡し、不明な「メソッド」を持つリクエストをフィルタリングする firewall/LB/proxy がありません。
    client_golang バージョン 1.11.1には、この問題のパッチが含まれています。いくつかの回避策が利用可能です。これには、InstrumentHandler で使用されるカウンター/ゲージからの「メソッド」ラベル名の削除が含まれます。影響を受ける promhttp ハンドラーをオフにします。Promhttp ハンドラーの前にカスタムミドルウェアを追加し、Go http.Request によって指定されたリクエストメソッドをサニタイズします。リバースプロキシまたは Web アプリケーションファイヤーウォールを使用し、一部のメソッドのみを許可するように構成されています。(CVE-2022-21698)

  - データソース処理における XSS の脆弱性 (CVE-2022-21702)

  - CSRF の脆弱性により、権限昇格につながる可能性があります (CVE-2022-21703)

  - IDOR の脆弱性により、情報漏洩が発生する可能性があります (CVE-2022-21713)

  - encoding/xml: Decoder.Skip でのスタックの枯渇 (CVE-2022-28131)

  - io/fs: Glob でのスタックの枯渇 (CVE-2022-30630)

  - compress/gzip: Reader.Read のスタックの枯渇 (CVE-2022-30631)

  - path/filepath: Glob でのスタックの枯渇 (CVE-2022-30632)

  - encoding/xml: Unmarshal でのスタックの枯渇 (CVE-2022-30633)

  - encoding/gob: Decoder.Decode でのスタックの枯渇 (CVE-2022-30635)

  - OAuth アカウント乗っ取り (CVE-2022-31107)

  - net/http/httputil: NewSingleHostReverseProxy (CVE-2022-32148)

  - 認証プロキシ使用時の管理者からサーバー管理者への昇格 (rhbz#2125530)(CVE-2022-35957)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
161035	RHEL 8 : grafana (RHSA-2022:1781)	Nessus	Red Hat Local Security Checks	2022/5/11	2025/3/13	medium
162469	SUSE SLES12 セキュリティ更新プログラム: SUSE Manager Client Tools (SUSE-SU-2022:2134-1)	Nessus	SuSE Local Security Checks	2022/6/22	2023/7/13	critical
160958	CentOS 8: grafana (CESA-2022：1781)	Nessus	CentOS Local Security Checks	2022/5/10	2022/5/10	medium
161134	AlmaLinux 8grafanaALSA-2022:1781	Nessus	Alma Linux Local Security Checks	2022/5/12	2022/5/12	medium
161284	Oracle Linux 8：grafana (ELSA-2022-1781)	Nessus	Oracle Linux Local Security Checks	2022/5/18	2024/10/22	medium
184950	Rocky Linux 8grafanaRLSA-2022:1781	Nessus	Rocky Linux Local Security Checks	2023/11/7	2023/11/7	medium
260322	Linux Distros のパッチ未適用の脆弱性: CVE-2021-43813	Nessus	Misc.	2025/9/2	2025/9/2	medium
170214	openSUSE 15 セキュリティ更新 : SUSE Manager Client Tools (SUSE-SU-2022:1396-1)	Nessus	SuSE Local Security Checks	2023/1/20	2023/2/8	critical
156937	openSUSE 15 セキュリティ更新：grafana (openSUSE-SU-2022:0140-1)	Nessus	SuSE Local Security Checks	2022/1/21	2022/8/29	high
170209	openSUSE 15 セキュリティ更新 : SUSE Manager Client Tools (SUSE-SU-2022:4437-1)	Nessus	SuSE Local Security Checks	2023/1/20	2023/2/8	critical
168719	SUSE SLED15 / SLES15 / openSUSE 15 セキュリティ更新: grafana (SUSE-SU-2022:4428-1)	Nessus	SuSE Local Security Checks	2022/12/14	2024/2/16	critical
191236	CentOS 9 : grafana-9.0.9-1.el9	Nessus	CentOS Local Security Checks	2024/2/29	2024/4/26	high

検出

プラグインの検索

medium

critical

medium

medium

medium

medium

medium

critical

high

critical

critical

high