リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2023:0812-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。8.1 ブランチ以降、バージョン 8.5.16、9.2.10、および 9.3.4より前の Grafana には、蓄積型 XSS の脆弱性があり、コアプラグイン GeoMap に影響を与えていました。SVG ファイルが適切にサニタイズされておらず、Grafana インスタンスの現在認証されているユーザーのコンテキストで任意の JavaScript が実行される可能性があるため、蓄積型 XSS の脆弱性が可能でした。攻撃者が、パネルを変更して JavaScript を含む SVG ファイルへの外部 URL を含めたり、「data: 」スキームを使用して JavaScript を含むインライン SVG ファイルをロードしたりするためには、編集者ロールが必要です。これは、垂直権限昇格が可能であることを意味します。ここで、管理者ロールを持つユーザーが、ダッシュボードを表示する悪意のある JavaScript を実行すると、編集者ロールを持つユーザーが既知のパスワードに変更される可能性があります。ユーザーは、バージョン 8.5.16、9.2.10、または 9.3.4にアップグレードして修正を受け取る必要があります。(CVE-2022-23552)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。バージョン 8.5.16および 9.2.8より前では、Web プロキシのおかげで、悪意のあるユーザーがクエリを編集することで、スナップショットを作成し、「originalUrl」パラメーターを任意に選択する可能性があります。別のユーザーがスナップショットの URL を開くと、信頼できる Grafana サーバーが提供する通常の Web インターフェースが表示されます。[元のダッシュボードを開く] ボタンが、実際の元のダッシュボードではなく、攻撃者が挿入した URL を指し示すようになりました。この問題はバージョン 8.5.16および 9.2.8で修正されています。(CVE-2022-39324)

  - 悪意を持って細工された HTTP/2 ストリームが、HPACK デコーダーでの過剰な CPU 消費を引き起こし、少数の小さなリクエストからのサービス拒否を引き起こす可能性があります。(CVE-2022-41723)

  - Prometheus Exporter Toolkit は、エクスポーターを構築するためのユーティリティパッケージです。0.7.2 および 0.8.2より前のバージョンでは、Prometheus web.yml ファイルおよびユーザーの暗号化されたパスワードにアクセスできるユーザーは、ビルトイン認証キャッシュをポイズニングすることでセキュリティをバイパスする可能性があります。バージョン 0.7.2と 0.8.2には、この問題の修正が含まれています。回避策はありませんが、攻撃者がこの機能を使用するには、ハッシュ化されたパスワードにアクセスできる必要があります。
    (CVE-2022-46146)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、e6281d88-a7a7-11ed-8d6a-6c3be5272acdのアドバイザリに記載されている脆弱性の影響を受けます。

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。バージョン 8.5.16 および 9.2.8 より前では、Web プロキシのおかげで、悪意のあるユーザーがクエリを編集することで、スナップショットを作成し、「originalUrl」パラメーターを任意に選択する可能性があります。別のユーザーがスナップショットの URL を開くと、信頼できる Grafana サーバーが提供する通常の Web インターフェイスが表示されます。[元のダッシュボードを開く] ボタンが、実際の元のダッシュボードではなく、攻撃者が挿入した URL を指し示すようになりました。この問題はバージョン 8.5.16 および 9.2.8 で修正されています。(CVE-2022-39324)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Redhat Enterprise Linux 8 ホストには、1 つ以上のパッケージがインストールされており、これらのパッケージは複数の脆弱性の影響を受けます。これらの脆弱性はベンダーによって認識されていますが、パッチが適用されません。

  - nodejs-underscore: テンプレート関数による任意のコード実行 (CVE-2021-23358)

  - protobufjs: ユーザー制御の protobuf メッセージを使用したプロトタイプ汚染 (CVE-2023-36665)

  - node-fetch は認証されていないアクターへの機密情報の漏洩に対して脆弱です (CVE-2022-0235)

注意: Nessus はこれらの問題をテストしておらず、代わりにパッケージがインストールされているというパッケージマネージャーのレポートに依存しています。

リモートの Redhat Enterprise Linux 9 ホストにインストールされているパッケージは、RHSA-2023: 6420 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。8.1 ブランチ以降、バージョン 8.5.16、9.2.10、および 9.3.4より前の Grafana には、蓄積型 XSS の脆弱性があり、コアプラグイン GeoMap に影響を与えていました。SVG ファイルが適切にサニタイズされておらず、Grafana インスタンスの現在認証されているユーザーのコンテキストで任意の JavaScript が実行される可能性があるため、蓄積型 XSS の脆弱性が可能でした。攻撃者が、パネルを変更して JavaScript を含む SVG ファイルへの外部 URL を含めたり、「data: 」スキームを使用して JavaScript を含むインライン SVG ファイルをロードしたりするためには、編集者ロールが必要です。これは、垂直権限昇格が可能であることを意味します。ここで、管理者ロールを持つユーザーが、ダッシュボードを表示する悪意のある JavaScript を実行すると、編集者ロールを持つユーザーが既知のパスワードに変更される可能性があります。ユーザーは、バージョン 8.5.16、9.2.10、または 9.3.4にアップグレードして修正を受け取る必要があります。(CVE-2022-23552)

  - Grafana は、オープンソースの可観測性およびデータ視覚化プラットフォームです。9.1.8 および 8.5.14 より前のバージョンは、プラグイン署名検証のバイパスに対して脆弱です。署名されていないプラグインが許可されていなくても、攻撃者はサーバー管理者に悪意のあるプラグインをダウンロードして正常に実行するよう誘導する可能性があります。
    バージョン 9.1.8および 8.5.14には、この問題に対するパッチが含まれています。回避策として、信頼できないソースからダウンロードしたプラグインをインストールしないでください。(CVE-2022-31123)

  - Grafana は、オープンソースの可観測性およびデータ視覚化プラットフォームです。9.1.8 および 8.5.14 より前のバージョンの Grafana は、特定の状況で、認証トークンを一部の宛先プラグインに漏洩する可能性があります。この脆弱性は、認証トークンを持つデータソースとプラグインプロキシのエンドポイントに影響を与えます。
    宛先プラグインが、ユーザーの Grafana 認証トークンを受信する可能性があります。バージョン 9.1.8および 8.5.14には、この問題に対するパッチが含まれています。回避策として、API キー、JWT 認証、または HTTP ヘッダーベースの認証を使用しないでください。(CVE-2022-31130)

  - Grafana は、オープンソースの可観測性およびデータ視覚化プラットフォームです。バージョン 8.5.14 および 9.1.8より前のバージョン 5.0.0-beta1 以降、Grafana はユーザーの認証クッキーをプラグインに漏洩する可能性があります。
    この脆弱性は、特定の条件下でデータソースとプラグインプロキシのエンドポイントに影響を与えます。宛先プラグインが、ユーザーの Grafana 認証クッキーを受信する可能性があります。バージョン 9.1.8および 8.5.14には、この問題に対するパッチが含まれています。既知の回避策はありません。(CVE-2022-39201)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。9.2.4 より前のバージョン、または 8.X ブランチの 8.5.15 は、不適切な入力検証の対象です。Grafana 管理者は、自分が管理者である組織に他のメンバーを招待することができます。管理者がメンバーを組織に追加すると、非既存のユーザーは招待メールを受け取り、既存のメンバーは組織に直接追加されます。招待リンクが送信されると、ユーザーは任意のユーザー名 / メールアドレスでサインアップし、組織のメンバーになることができます。これにより、悪意のある意図で使用される可能性がある脆弱性が導入されます。この問題はバージョン 9.2.4 でパッチされ、8.5.15 にバックポートされています。既知の回避策はありません。
    (CVE-2022-39306)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。ログインページでパスワードを忘れた場合、「/api/user/password/sent-reset-email」URL に対して POST リクエストが行われます。ユーザー名または電子メールが存在しない場合、JSON 応答に user not found メッセージが含まれます。これにより、認証されていないユーザーに情報が漏洩し、セキュリティリスクが発生します。この問題は 9.2.4 でパッチされ、8.5.15 にバックポートされています。既知の回避策はありません。(CVE-2022-39307)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。バージョン 8.5.16および 9.2.8より前では、Web プロキシのおかげで、悪意のあるユーザーがクエリを編集することで、スナップショットを作成し、「originalUrl」パラメーターを任意に選択する可能性があります。別のユーザーがスナップショットの URL を開くと、信頼できる Grafana サーバーが提供する通常の Web インターフェースが表示されます。[元のダッシュボードを開く] ボタンが、実際の元のダッシュボードではなく、攻撃者が挿入した URL を指し示すようになりました。この問題はバージョン 8.5.16および 9.2.8で修正されています。(CVE-2022-39324)

  - 攻撃者が、HTTP/2 リクエストを受け入れる Go サーバーで過剰なメモリ増加を引き起こす可能性があります。HTTP/2 サーバー接続には、クライアントによって送信された HTTP ヘッダーキーのキャッシュが含まれています。このキャッシュのエントリの合計数には上限がありますが、非常に大きな鍵を送信する攻撃者が、開いている接続ごとにサーバーに約 64 MiB を割り当てる可能性があります。(CVE-2022-41717)

  - HTTP および MIME ヘッダー解析により、少しの入力を解析する場合でも大量のメモリが割り当てられ、サービス拒否が発生する可能性があります。入力データの特定の異常なパターンにより、HTTP および MIME ヘッダーを解析するために使用される共通関数が、解析されたヘッダーを保持するために必要なメモリよりも大幅に多くのメモリを割り当てる可能性があります。攻撃者がこの動作を悪用して、HTTP サーバーに少しのリクエストから大量のメモリを割り当てさせ、メモリ枯渇やサービス拒否を引き起こす可能性があります。
    修正により、ヘッダー解析は、解析されたヘッダーを保持するために必要なメモリのみを適切に割り当てるようになりました。
    (CVE-2023-24534)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Oracle Linux 9 ホストに、ELSA-2023-6420 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。8.1 ブランチ以降、バージョン 8.5.16、9.2.10、および 9.3.4より前の Grafana には、蓄積型 XSS の脆弱性があり、コアプラグイン GeoMap に影響を与えていました。SVG ファイルが適切にサニタイズされておらず、Grafana インスタンスの現在認証されているユーザーのコンテキストで任意の JavaScript が実行される可能性があるため、蓄積型 XSS の脆弱性が可能でした。攻撃者が、パネルを変更して JavaScript を含む SVG ファイルへの外部 URL を含めたり、「data: 」スキームを使用して JavaScript を含むインライン SVG ファイルをロードしたりするためには、編集者ロールが必要です。これは、垂直権限昇格が可能であることを意味します。ここで、管理者ロールを持つユーザーが、ダッシュボードを表示する悪意のある JavaScript を実行すると、編集者ロールを持つユーザーが既知のパスワードに変更される可能性があります。ユーザーは、バージョン 8.5.16、9.2.10、または 9.3.4にアップグレードして修正を受け取る必要があります。(CVE-2022-23552)

  - Grafana は、オープンソースの可観測性およびデータ視覚化プラットフォームです。バージョン 8.5.14 および 9.1.8より前のバージョン 5.0.0-beta1 以降、Grafana はユーザーの認証クッキーをプラグインに漏洩する可能性があります。
    この脆弱性は、特定の条件下でデータソースとプラグインプロキシのエンドポイントに影響を与えます。宛先プラグインが、ユーザーの Grafana 認証クッキーを受信する可能性があります。バージョン 9.1.8および 8.5.14には、この問題に対するパッチが含まれています。既知の回避策はありません。(CVE-2022-39201)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。ログインページでパスワードを忘れた場合、「/api/user/password/sent-reset-email」URL に対して POST リクエストが行われます。ユーザー名または電子メールが存在しない場合、JSON 応答に user not found メッセージが含まれます。これにより、認証されていないユーザーに情報が漏洩し、セキュリティリスクが発生します。この問題は 9.2.4 でパッチされ、8.5.15 にバックポートされています。既知の回避策はありません。(CVE-2022-39307)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。9.2.4 より前のバージョン、または 8.X ブランチの 8.5.15 は、不適切な入力検証の対象です。Grafana 管理者は、自分が管理者である組織に他のメンバーを招待することができます。管理者がメンバーを組織に追加すると、非既存のユーザーは招待メールを受け取り、既存のメンバーは組織に直接追加されます。招待リンクが送信されると、ユーザーは任意のユーザー名 / メールアドレスでサインアップし、組織のメンバーになることができます。これにより、悪意のある意図で使用される可能性がある脆弱性が導入されます。この問題はバージョン 9.2.4 でパッチされ、8.5.15 にバックポートされています。既知の回避策はありません。
    (CVE-2022-39306)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。バージョン 8.5.16および 9.2.8より前では、Web プロキシのおかげで、悪意のあるユーザーがクエリを編集することで、スナップショットを作成し、「originalUrl」パラメーターを任意に選択する可能性があります。別のユーザーがスナップショットの URL を開くと、信頼できる Grafana サーバーが提供する通常の Web インターフェースが表示されます。[元のダッシュボードを開く] ボタンが、実際の元のダッシュボードではなく、攻撃者が挿入した URL を指し示すようになりました。この問題はバージョン 8.5.16および 9.2.8で修正されています。(CVE-2022-39324)

  - Grafana は、オープンソースの可観測性およびデータ視覚化プラットフォームです。9.1.8 および 8.5.14 より前のバージョンは、プラグイン署名検証のバイパスに対して脆弱です。署名されていないプラグインが許可されていなくても、攻撃者はサーバー管理者に悪意のあるプラグインをダウンロードして正常に実行するよう誘導する可能性があります。
    バージョン 9.1.8および 8.5.14には、この問題に対するパッチが含まれています。回避策として、信頼できないソースからダウンロードしたプラグインをインストールしないでください。(CVE-2022-31123)

  - Grafana は、オープンソースの可観測性およびデータ視覚化プラットフォームです。9.1.8 および 8.5.14 より前のバージョンの Grafana は、特定の状況で、認証トークンを一部の宛先プラグインに漏洩する可能性があります。この脆弱性は、認証トークンを持つデータソースとプラグインプロキシのエンドポイントに影響を与えます。
    宛先プラグインが、ユーザーの Grafana 認証トークンを受信する可能性があります。バージョン 9.1.8および 8.5.14には、この問題に対するパッチが含まれています。回避策として、API キー、JWT 認証、または HTTP ヘッダーベースの認証を使用しないでください。(CVE-2022-31130)

  - 攻撃者が、HTTP/2 リクエストを受け入れる Go サーバーで過剰なメモリ増加を引き起こす可能性があります。HTTP/2 サーバー接続には、クライアントによって送信された HTTP ヘッダーキーのキャッシュが含まれています。このキャッシュのエントリの合計数には上限がありますが、非常に大きな鍵を送信する攻撃者が、開いている接続ごとにサーバーに約 64 MiB を割り当てる可能性があります。(CVE-2022-41717)

  - HTTP および MIME ヘッダー解析により、少しの入力を解析する場合でも大量のメモリが割り当てられ、サービス拒否が発生する可能性があります。入力データの特定の異常なパターンにより、HTTP および MIME ヘッダーを解析するために使用される共通関数が、解析されたヘッダーを保持するために必要なメモリよりも大幅に多くのメモリを割り当てる可能性があります。攻撃者がこの動作を悪用して、HTTP サーバーに少しのリクエストから大量のメモリを割り当てさせ、メモリ枯渇やサービス拒否を引き起こす可能性があります。
    修正により、ヘッダー解析は、解析されたヘッダーを保持するために必要なメモリのみを適切に割り当てるようになりました。
    (CVE-2023-24534)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2023:0821-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。8.1 ブランチ以降、バージョン 8.5.16、9.2.10、および 9.3.4より前の Grafana には、蓄積型 XSS の脆弱性があり、コアプラグイン GeoMap に影響を与えていました。SVG ファイルが適切にサニタイズされておらず、Grafana インスタンスの現在認証されているユーザーのコンテキストで任意の JavaScript が実行される可能性があるため、蓄積型 XSS の脆弱性が可能でした。攻撃者が、パネルを変更して JavaScript を含む SVG ファイルへの外部 URL を含めたり、「data: 」スキームを使用して JavaScript を含むインライン SVG ファイルをロードしたりするためには、編集者ロールが必要です。これは、垂直権限昇格が可能であることを意味します。ここで、管理者ロールを持つユーザーが、ダッシュボードを表示する悪意のある JavaScript を実行すると、編集者ロールを持つユーザーが既知のパスワードに変更される可能性があります。ユーザーは、バージョン 8.5.16、9.2.10、または 9.3.4にアップグレードして修正を受け取る必要があります。(CVE-2022-23552)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。バージョン 8.5.16および 9.2.8より前では、Web プロキシのおかげで、悪意のあるユーザーがクエリを編集することで、スナップショットを作成し、「originalUrl」パラメーターを任意に選択する可能性があります。別のユーザーがスナップショットの URL を開くと、信頼できる Grafana サーバーが提供する通常の Web インターフェースが表示されます。[元のダッシュボードを開く] ボタンが、実際の元のダッシュボードではなく、攻撃者が挿入した URL を指し示すようになりました。この問題はバージョン 8.5.16および 9.2.8で修正されています。(CVE-2022-39324)

  - 悪意を持って細工された HTTP/2 ストリームが、HPACK デコーダーでの過剰な CPU 消費を引き起こし、少数の小さなリクエストからのサービス拒否を引き起こす可能性があります。(CVE-2022-41723)

  - Prometheus Exporter Toolkit は、エクスポーターを構築するためのユーティリティパッケージです。0.7.2 および 0.8.2より前のバージョンでは、Prometheus web.yml ファイルおよびユーザーの暗号化されたパスワードにアクセスできるユーザーは、ビルトイン認証キャッシュをポイズニングすることでセキュリティをバイパスする可能性があります。バージョン 0.7.2と 0.8.2には、この問題の修正が含まれています。回避策はありませんが、攻撃者がこの機能を使用するには、ハッシュ化されたパスワードにアクセスできる必要があります。
    (CVE-2022-46146)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
173218	SUSE SLED15/ SLES15/ openSUSE 15 セキュリティ更新: SUSE Manager Client Tools (SUSE-SU-2023:0812-1)	Nessus	SuSE Local Security Checks	2023/3/22	2023/7/14	high
171247	FreeBSD: Grafana -- スナップショットの originalUrl を偽装 (e6281d88-a7a7-11ed-8d6a-6c3be5272acd)	Nessus	FreeBSD Local Security Checks	2023/2/9	2023/2/9	low
199102	RHEL 8: grafana (パッチ未適用の脆弱性)	Nessus	Red Hat Local Security Checks	2024/6/3	2024/7/12	critical
185127	RHEL 9 : grafana (RHSA-2023: 6420)	Nessus	Red Hat Local Security Checks	2023/11/7	2024/4/28	high
185870	Oracle Linux 9 : grafana (ELSA-2023-6420)	Nessus	Oracle Linux Local Security Checks	2023/11/16	2023/11/16	high
173225	SUSE SLED15/ SLES15/ openSUSE 15 セキュリティ更新: grafana (SUSE-SU-2023:0821-1)	Nessus	SuSE Local Security Checks	2023/3/22	2023/7/14	high

検出

プラグインの検索

high

low

critical

high

high

high