自己報告されたバージョンによると、リモートホストでホストされているGrafanaインストールは 10.3.x 、より 10.3.10前の、、より 10.4.x 前の、 10.4.9より前の、 11.0.x より 11.0.5前の、より前の、または 11.1.611.1.x より前のです 11.2.x 。 11.2.1より前の 。そのため、以下の複数の脆弱性の影響を受けます。

- コードインジェクションの脆弱性。

- 不適切な分離またはコンパートメントの脆弱性。

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2025:0525-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    dracut-saltboot はバージョン 0.1.1728559936.c16d4fb に更新されました:

    - MAC ベースの端末命名オプションを追加しました (jsc#SUMA-314)

    golang-github-prometheus-prometheus はバージョン 2.45.6 から 2.53.3 に更新されました (jsc#PED-11649):

    - 修正されたセキュリティ問題:
      * CVE-2024-51744: golang-jwt をバージョン 5.0 に更新し、不適切なエラー処理を修正 (bsc#1232970)

    - その他の変更のハイライト:
      * パフォーマンス:
        - PromQL 実行速度、TSDB 操作 (特にクエリとコンパクション)、リモート書き込み操作の大幅な強化。
        - メモリ管理を改善するために、デフォルトの GOGC 値が 75 に引き下げられました。
        - ドロップされたターゲットからのメモリ使用を制限するオプションが追加されました。
      * 新機能:
        - 実験的な OpenTelemetry 取り込み。
        - 自動メモリ制限処理。
        - 新機能、UI の強化、改善されたスクレイピングを含む、ネイティブヒストグラムのサポート。
        - AlertmanagerConfig のルールの再ラベル付けや新しい query_offset オプションなどの改善されたアラート機能。
        - メタデータの追加と新しいサービスのサポートにより拡張されたサービス検出オプション。
        - PromQL フォーマット、ラベル操作、メトリクスプッシュ、OpenMetrics ダンピング用の新しい promtool コマンド。
      * バグ修正:
        - スクレイピング、API、TSDB、PromQL、サービス検出にわたる多数の修正。
      * 変更の詳細なリストについては、パッケージ変更ログを参照するか、https://github.com/prometheus/prometheus/compare/v2.45.6...v2.53.3

    grafana はバージョン 9.5.18 から 10.4.13 に更新されました (jsc#PED-11591、jsc#PED-11649):

    - 修正されたセキュリティ問題:
      * CVE-2024-45337: golang.org/x/crypto をアップグレードすることで、ServerConfig.PublicKeyCallback の起こり得る誤用を防止します (bsc#1234554)
      * CVE-2023-3128: Azure AD OAuth を使用する認証バイパスを修正しました (bsc#1212641)
      * CVE-2023-6152: ユーザーのメールを更新する際にメール検証を追加します (bsc#1219912)
      * CVE-2024-6837: 潜在的なデータソースのアクセス許可昇格を修正しました (bsc#1236301)
      * CVE-2024-8118: 外部アラートルールの書き込みエンドポイントのアクセス許可を修正しました (bsc#1231024)

    - バージョン 10 の潜在的な重大な変更:
      * 「フィールドの抽出」変換を使用するパネルで、抽出された名前の 1 つが既存のフィールドの 1 つと競合する場合、抽出されたフィールドの名前が変更されます。
      * 既存のバックエンドモードでは、テーブルの視覚化を行っているユーザーは、パネルに不一致が現れる場合があります。
        テーブルの列の名前を更新しました。これは、フィールド変換やフィールドオーバーライドに影響を与える可能性があります。これを解決するには、変換を更新するか、フィールドのオーバーライドを行います。
      * 既存のバックエンドモードの場合、「time」フィールドを含む変換があるユーザーは、変換が機能しない可能性があります。変換が破損しているパネルは、レンダリングに失敗します。これは、フィールドキーを変更したためです。この問題を解決するには、次のいずれかを行います。影響を受けるパネルを削除して再作成します。もう一度「Time」フィールドを選択します。「panel.json」または「dashboard.json」で、「time」フィールドを変換の「Time」として編集します
      * 次のデータソースのアクセス許可のエンドポイントが削除されました。
        「GET /datasources/:datasourceId/permissions」「POST /api/datasources/:datasourceId/permissions」「DELETE /datasources/:datasourceId/permissions」「POST /datasources/:datasourceId/enable-permissions」「POST /datasources/:datasourceId/disable-permissions」
        - 代わりに次のエンドポイントを使用してください。
          データソースのアクセス許可を一覧表示する場合は「GET /api/access-control/datasources/:uid」、データソースのアクセス許可を追加または削除する場合は「POST /api/access-control/datasources/:uid/users/:id」、「POST /api/access-control/datasources/:uid/teams/:id」、「POST /api/access-control/datasources/:uid/buildInRoles/:id」
      * Terraform Grafana プロバイダーを使用してデータソースのアクセス許可を管理している場合は、プロバイダーをアップグレードする必要があります。
      * 既存のバックエンドモードでは、テーブルの視覚化を行っているユーザーは、パネルに不一致が現れる場合があります。
        テーブルの列の名前を更新しました。これは、フィールド変換やフィールドオーバーライドに影響を与える可能性があります。
      * 非推奨の「/playlists/{uid}/dashboards」API エンドポイントが削除されました。
        ダッシュボード情報は、「/dashboard/...」API から取得できます。
      * 「PUT /api/folders/:uid」エンドポイントは、フォルダーの「UID」の変更をサポートしなくなりました
      * 古いパネルヘッダーデザインからすべてのコンポーネントを削除しました。
      * 詳細については、https://grafana.com/docs/grafana/next/breaking-changes/breaking-changes-v10-3/for を確認してください
      * OAuth ロールマッピングの強制: この変更は GitHub、Gitlab、Okta、Generic OAuth に影響します。手動で設定されたロールのオーバーライドを回避するには、アップグレードの前に OAuth プロバイダーの Grafana 設定の skip_org_role_sync オプションを有効にします
      * Angular は廃止されました
      * Grafana のレガシーアラートが廃止されました
      * API キーは、サービスアカウントに移行しています
      * 実験的なダッシュボードプレビュー機能が削除されています
      * ユーザー名はデフォルトで大文字と小文字を区別しません
      * Grafana OAuth 統合がメール検索で動作しなくなりました
      * CloudWatch データソースの [エイリアス] フィールドが削除されました
      * Athena データソースプラグインは、バージョン 2.9.3 以上に更新する必要があります
      * Redshift データソースプラグインは、バージョン 1.8.3 以上に更新する必要があります
      * DoiT International BigQuery プラグインは現在サポートされなくなりました
      * 詳細については、https://grafana.com/docs/grafana/next/breaking-changes/breaking-changes-v10-0for を確認してください

    - この更新により、多くの新機能、拡張機能、修正が提供されます (以下で説明されています):
      * https://grafana.com/docs/grafana/next/whatsnew/whats-new-in-v10-4/* https://grafana.com/docs/grafana/next/whatsnew/whats-new-in-v10-3/* https://grafana.com/docs/grafana/next/whatsnew/whats-new-in-v10-2/* https://grafana.com/docs/grafana/next/whatsnew/whats-new-in-v10-1/* https://grafana.com/docs/grafana/next/whatsnew/whats-new-in-v10-0/:

    spacecmd がバージョン 5.0.11-0 に更新されました:

    - 翻訳文字列が更新されました

    supportutils-plugin-salt がバージョン 1.2.3 に更新されました:

    - supportutils 3.2.9 リリースとの互換性を確保するためにプラグインの要件が調整されました (bsc#1235145)
    - 後方互換性のあるスクリプトバージョンを提供します

    supportutils-plugin-susemanager-client がバージョン 5.0.4-0 に更新されました:

    - supportutils 3.2.9 リリースとの互換性を確保するためにプラグインの要件が調整されました (bsc#1235145)

    uyuni-tools がバージョン 0.1.23-0 から 0.1.27-0 に更新されました:

    - 修正されたセキュリティ問題:
      * CVE-2024-22037: podman シークレットを使用して、データベース認証情報を保存します (bsc#1231497)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている Grafana Labs のバージョンは、10.3.10、10.4.9、11.0.5、11.1.6、または 11.2.1 より前です。したがって、cve-2024-8118 のアドバイザリに記載されている脆弱性の影響を受けます。

  - Grafana で、誤った権限がアラートルール書き込み API エンドポイントに適用されるため、外部アラートインスタンスを書き込むアクセス許可を持つユーザーが、アラートルールも書き込む可能性があります。(CVE-2024-8118)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Grafana で、誤った権限がアラートルール書き込み API エンドポイントに適用されるため、外部アラートインスタンスを書き込むアクセス許可を持つユーザーが、アラートルールも書き込む可能性があります。(CVE-2024-8118)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの SUSE Linux SLES15 / openSUSE 15 ホストには、SUSE-SU-2025:0545-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    grafana はバージョン 9.5.18 から 10.4.13 に更新されました (jsc#PED-11591、jsc#PED-11649):

    - 修正されたセキュリティ問題:
      * CVE-2024-45337: golang.org/x/crypto をアップグレードすることで、ServerConfig.PublicKeyCallback の起こり得る誤用を防止します (bsc#1234554)
      * CVE-2023-3128: Azure AD OAuth を使用する認証バイパスを修正しました (bsc#1212641)
      * CVE-2023-6152: ユーザーのメールを更新する際にメール検証を追加します (bsc#1219912)
      * CVE-2024-6837: 潜在的なデータソースのアクセス許可昇格を修正しました (bsc#1236301)
      * CVE-2024-8118: 外部アラートルールの書き込みエンドポイントのアクセス許可を修正しました (bsc#1231024)

    - バージョン 10 の潜在的な重大な変更:
      * 「フィールドの抽出」変換を使用するパネルで、抽出された名前の 1 つが既存のフィールドの 1 つと競合する場合、抽出されたフィールドの名前が変更されます。
      * 既存のバックエンドモードでは、テーブルの視覚化を行っているユーザーは、パネルに不一致が現れる場合があります。
        テーブルの列の名前を更新しました。これは、フィールド変換やフィールドオーバーライドに影響を与える可能性があります。これを解決するには、変換を更新するか、フィールドのオーバーライドを行います。
      * 既存のバックエンドモードの場合、「time」フィールドを含む変換があるユーザーは、変換が機能しない可能性があります。変換が破損しているパネルは、レンダリングに失敗します。これは、フィールドキーを変更したためです。この問題を解決するには、次のいずれかを行います。影響を受けるパネルを削除して再作成します。もう一度「Time」フィールドを選択します。「panel.json」または「dashboard.json」で、「time」フィールドを変換の「Time」として編集します
      * 次のデータソースのアクセス許可のエンドポイントが削除されました。
        「GET /datasources/:datasourceId/permissions」「POST /api/datasources/:datasourceId/permissions」「DELETE /datasources/:datasourceId/permissions」「POST /datasources/:datasourceId/enable-permissions」「POST /datasources/:datasourceId/disable-permissions」
        - 代わりに次のエンドポイントを使用してください。
          データソースのアクセス許可を一覧表示する場合は「GET /api/access-control/datasources/:uid」、データソースのアクセス許可を追加または削除する場合は「POST /api/access-control/datasources/:uid/users/:id」、「POST /api/access-control/datasources/:uid/teams/:id」、「POST /api/access-control/datasources/:uid/buildInRoles/:id」
      * Terraform Grafana プロバイダーを使用してデータソースのアクセス許可を管理している場合は、プロバイダーをアップグレードする必要があります。
      * 既存のバックエンドモードでは、テーブルの視覚化を行っているユーザーは、パネルに不一致が現れる場合があります。
        テーブルの列の名前を更新しました。これは、フィールド変換やフィールドオーバーライドに影響を与える可能性があります。
      * 非推奨の「/playlists/{uid}/dashboards」API エンドポイントが削除されました。
        ダッシュボード情報は、「/dashboard/...」API から取得できます。
      * 「PUT /api/folders/:uid」エンドポイントは、フォルダーの「UID」の変更をサポートしなくなりました
      * 古いパネルヘッダーデザインからすべてのコンポーネントを削除しました。
      * 詳細については、https://grafana.com/docs/grafana/next/breaking-changes/breaking-changes-v10-3/for を確認してください
      * OAuth ロールマッピングの強制: この変更は GitHub、Gitlab、Okta、Generic OAuth に影響します。手動で設定されたロールのオーバーライドを回避するには、アップグレードの前に OAuth プロバイダーの Grafana 設定の skip_org_role_sync オプションを有効にします
      * Angular は廃止されました
      * Grafana のレガシーアラートが廃止されました
      * API キーは、サービスアカウントに移行しています
      * 実験的なダッシュボードプレビュー機能が削除されています
      * ユーザー名はデフォルトで大文字と小文字を区別しません
      * Grafana OAuth 統合がメール検索で動作しなくなりました
      * CloudWatch データソースの [エイリアス] フィールドが削除されました
      * Athena データソースプラグインは、バージョン 2.9.3 以上に更新する必要があります
      * Redshift データソースプラグインは、バージョン 1.8.3 以上に更新する必要があります
      * DoiT International BigQuery プラグインは現在サポートされなくなりました
      * 詳細については、https://grafana.com/docs/grafana/next/breaking-changes/breaking-changes-v10-0for を確認してください

    - この更新により、多くの新機能、拡張機能、修正が提供されます (以下で説明されています):
      * https://grafana.com/docs/grafana/next/whatsnew/whats-new-in-v10-4/* https://grafana.com/docs/grafana/next/whatsnew/whats-new-in-v10-3/* https://grafana.com/docs/grafana/next/whatsnew/whats-new-in-v10-2/* https://grafana.com/docs/grafana/next/whatsnew/whats-new-in-v10-1/* https://grafana.com/docs/grafana/next/whatsnew/whats-new-in-v10-0/

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
114830	Grafana 10.3.x < 10.3.10 の複数の脆弱性	Web App Scanning	Component Vulnerability	2025/6/4	2025/6/4	critical
114834	Grafana 11.2.x < 11.2.1 の複数の脆弱性	Web App Scanning	Component Vulnerability	2025/6/4	2025/6/4	critical
114831	Grafana 10.4.x < 10.4.9 の複数の脆弱性	Web App Scanning	Component Vulnerability	2025/6/4	2025/6/4	critical
114832	Grafana 11.0.x < 11.0.5 の複数の脆弱性	Web App Scanning	Component Vulnerability	2025/6/4	2025/6/4	critical
114833	Grafana 11.1.x < 11.1.6 の複数の脆弱性	Web App Scanning	Component Vulnerability	2025/6/4	2025/6/4	critical
216389	SUSE SLED15/SLES15/openSUSE 15 セキュリティ更新 : SUSE Manager Client Tools (SUSE-SU-2025:0525-1)	Nessus	SuSE Local Security Checks	2025/2/17	2025/2/19	medium
208027	Grafana Labs の不適切なアクセス許可 (cve-2024-8118)	Nessus	Web Servers	2024/10/2	2025/7/22	medium
231753	Linux Distros のパッチ未適用の脆弱性: CVE-2024-8118	Nessus	Misc.	2025/3/6	2025/9/14	medium
216397	SUSE SLES15/openSUSE 15 セキュリティ更新: grafana (SUSE-SU-2025:0545-1)	Nessus	SuSE Local Security Checks	2025/2/17	2025/6/5	medium

検出

プラグインの検索

critical

critical

critical

critical

critical

medium

medium

medium

medium