リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:22125-1 アドバイザリで言及されています。

    grafana の変更点:

    バージョン 12.4.10 への更新:

      * セキュリティ:

        * CVE-2026-17183:Grafanaの設定されたデータソース認証情報を通じてアクセス可能なデータの露出を修正します(bsc#1275934)
        * CVE-2026-2303:脆弱な go.mongodb.org/mongo-driver 上の依存関係をドロップします(bsc#1269841)
        * CVE-2026-17033:外部 Alertmanager generatorURL を介して保存された XSS を修正します(bsc#1276426)
        * CVE-2026-73501:github.com/getkin/kin-openapi におけるフェイルオープン認証バイパスを修正します(bsc#1276973)
        * CVE-2026-19475:PostgreSQL データソースの DoS を修正します(bsc#1278307)
        * CVE-2026-14199:認証プロキシキャッシュキー衝突によるセッション乗っ取りを修正します(bsc#1278322)

      * バグ修正:

        * ダッシュボード:UI インポートの adhoc および groupby 変数データソースを修正
        * ダッシュボード:レガシーバージョン履歴ページのバージョン日付とユーザー表示名を修正

    バージョン 12.4.9 への更新:

      * 機能および強化:

        * ダッシュボードのインポート:v2 スキーマのラベル

      * バグ修正:

        * Azure Monitor:ディメンションフィルターの移行を修正

    バージョン 12.4.8 への更新:

      * セキュリティ:

        * CVE-2026-19197:ダッシュボードのスナップショットでアクセスコントロールを修正します(bsc#1277025)

    バージョン 12.4.7 への更新:

      * セキュリティ:

        * CVE-2026-56852:golang.org/x/text/unicode/norm の切り捨てられた/無効な UTF-8 入力での無限ループを修正します(bsc#1272008)

      * 機能および強化:

        * ダッシュボード:注釈を取得し、ダッシュボードエンドポイントのパフォーマンスを向上

      * バグ修正:

        * DashboardDS:時間オーバーライドを伴う混合パネルが恒久的なロードでスタックする問題を修正します

    バージョン 12.4.6 への更新:

      * セキュリティ:

        * CVE-2026-41178:opentelemetry-go のバグ解析を修正します(bsc#1276658)

      * 機能および強化:

        * アラート:保護されたフィールドの認証チェックをプロビジョニング API に追加します
        * アラート:連絡先の来所の不一致で 500 ではなく 403 を返す

      * バグ修正:

        * Jaeger:gzip、deflate、および brotli 圧縮 API 応答を処理します
        * アラート:ORM テーブルマッピングのバグを修正します。このバグにより、 SELECT alert_rule 列が PostgreSQL のユーザーから発生します

    * CVE-2026-39882:v1.43.0 に更新することで、OpenTelemetry OTLP HTTP エクスポーターにおけるメモリ枯渇 DoS を防ぎます。(bsc#1274217)
    * CVE-2026-42127:grafana'aパブリックダッシュボードクエリエンドポイントでのメモリ枯渇によるDoSを修正(bsc#1268868)
    * CVE-2026-9029:ジオマップパネルの XSS による任意のコードの実行と情報漏洩を修正します(bsc#1272328)
    * CVE-2026-33814:golang.org/x/net を更新することで HTTP/2 トランスポートの無限ループを修正します(bsc#1265763)
    * CVE-2026-8609:OAuth ログインルートでの事前認証 DoS を修正します(bsc#1271330)
    * CVE-2026-1229:github.com/cloudflare/circl を更新し、特定の入力に対する不適切な出力を生成する問題を修正します(bsc#1265525)(bsc#1262187)
    * CVE-2026-21723:テンプレートテストエンドポイントの DoS 脆弱性を修正します(bsc#1272427)
    * CVE-2026-41606:Apache Thrift の潜在的な DoS を修正します(bsc#1263330)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - エディターアクセス権またはalert.instances.external:writeを持つ認証された攻撃者が、制御されたgeneratorURLを含む外部のAlertmanagerアラートを送信する可能性があります。攻撃者にはアラートを作成する権限がありますが、別のユーザーのGrafanaセッションでスクリプトを実行する権限はありません。Grafanaは、alert.generatorURLをアラート詳細として直接レンダリングします。URLスキーマのサニタイズや安全プロトコルの許可リストなしで、ソースを参照のLinkButton href。クリックインターセプターの :// ヒューリスティックは、JavaScript コメントの中に :// を配置することでバイパスされる可能性があります。読み取りアクセス権を持つユーザーが[ソースを表示]をクリックすると、ブラウザーはクリックしたユーザーのアクセス許可で、攻撃者が制御するJavaScriptをGrafanaオリジンで実行します。(CVE-2026-17033)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

リモートの SUSE Linux SLES15 ホストには、SUSE-SU-2026:4600-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - バージョン 12.4.10 への更新:
      * セキュリティ:
        CVE-2026-17183:Grafanaの設定済みデータソース認証情報を通じてアクセス可能なデータの漏えいを修正(bsc#1275934) CVE-2026-2303:脆弱な go.mongodb.org/mongo-driver の依存関係をドロップ(bsc#1269841) CVE-2026-17033:外部Alertmanager generatorURLを介して格納されたXSSを修正(bsc#1276426) CVE-2026-73501:github.com/getkin/kin-openapi のフェイルオープン認証バイパスを修正(bsc#1276973) CVE-2026-19475:PostgreSQLデータソースのDoSを修正(bsc#1278307) CVE-2026-14199:認証プロキシキャッシュキー衝突によるセッション乗っ取りを修正(bsc#1278322)
      * バグ修正:
        ダッシュボード:UI インポートの adhoc および groupby 変数データソースを修正 ダッシュボード:レガシーバージョン履歴ページのバージョン日付とユーザー表示名を修正
    - バージョン 12.4.9 への更新:
      * 機能および強化:
        ダッシュボードのインポート: v2 スキーマのラベル
      * バグ修正:
        Azure Monitor: ディメンション フィルターの移行を修正
    - バージョン 12.4.8 への更新:
      * セキュリティ:
        CVE-2026-19197:ダッシュボードのスナップショットでアクセスコントロールを修正します(bsc#1277025)
    - バージョン 12.4.7 への更新:
      * セキュリティ:
        CVE-2026-56852:golang.org/x/text/unicode/norm における切り捨てられた/無効な UTF-8 入力での無限ループを修正します(bsc#1272008)
      * 機能および強化:
        ダッシュボード: 注釈の取得とダッシュボードエンドポイントのパフォーマンスの向上
      * バグ修正:
        DashboardDS:時間オーバーライドを持つ混合パネルが恒久的な読み込みでスタックする問題を修正
    - バージョン 12.4.6 への更新:
      * セキュリティ:
        CVE-2026-41178:opentelemetry-go のバグ解析を修正します(bsc#1276658)
      * 機能および強化:
        アラート: 保護フィールドの認証チェックをプロビジョニング API に追加する アラート: 連絡先の出所の不一致で 500 ではなく 403 を返す
      * バグ修正:
        Jaeger:gzip、deflate、および brotli 圧縮された API 応答を処理します アラート:ORM テーブルマッピングのバグを修正します。このバグにより、ユーザーが PostgreSQL で SELECT alert_rule 列を発生させます
    - 0005-Bump-edwards25519.patch をドロップします

        CVE-2026-39882:v1.43.0 に更新することで、OpenTelemetry OTLP HTTP エクスポートにおけるメモリ枯渇 DoS を防ぎます。
                        (bsc#1274217) CVE-2026-8595:テーブルパネルの格納型XSSを修正(bsc#1271557) CVE-2026-42127:grafana'aパブリックダッシュボードクエリエンドポイントのメモリ枯渇によるDoSを修正(bsc#1268868) CVE-2026-9029:ジオマップパネルのXSSによる任意のコードの実行と情報漏えいを修正(bsc#1272328) CVE-2026-33814:golang.org/x/net を更新することでHTTP/2トランスポートの無限ループを修正(bsc#1265763) CVE-2026-8609:OAuthログインルートでの事前認証DoSを修正(bsc#1271330)
      * CVE-2026-1229:github.com/cloudflare/circl を更新し、特定の入力に対する不適切な出力を生成する問題を修正します(bsc#1265525)(bsc#1262187)
      * CVE-2026-21723:テンプレートテストエンドポイントの DoS 脆弱性を修正します(bsc#1272427)
    - CVE-2026-41606:Apache Thrift の DoS の可能性を修正(bsc#1263330)
    - SUSE ディストリビューションのみをビルドします

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
370424	openSUSE 16セキュリティ更新プログラム:grafana(openSUSE-SU-2026:22125-1)	Nessus	SuSE Local Security Checks	2026/10/22	2026/10/22	medium
370988	Linux Distros のパッチ未適用の脆弱性: CVE-2026-17033	Nessus	Misc.	2026/10/23	2026/10/26	medium
369265	SUSE SLES15 セキュリティ更新プログラム:grafana、system-user-grafana(SUSE-SU-2026:4600-1)	Nessus	SuSE Local Security Checks	2026/10/21	2026/10/21	medium

検出

プラグインの検索

medium

medium

medium