自己報告されたバージョンによると、リモートホストでホストされている Grafana のインストールは 12.0.9 より前、12.1.6 より前の 12.1.x、12.2.4 より前の 12.2.x、12.3.3 より前の 12.3.x です。したがって、クロステナント間のレガシー相関開示および削除脆弱性の影響を受けます。

- 組織間でorg_id = 0のレコードを返すことを可能にする後方互換性の条件により、データソース管理権限を持つユーザーは、他の組織に属するレガシー相関データを読み取り、永久に削除することができました。

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - --- title: クロステナントレガシー相関の漏洩および削除 ドラフトfalseher イメージ
    /static/img/heros/hero-legal2.svg コンテンツ: #クロステナントレガシー関連付け 開示および削除日: 2026 年 1 月 29 日製品: Grafana 重要度: 低 cve: CVE-2026-21727 cvss_score: 3.3 cvss_vector:
    CVSS3.3/AV:N/AC:H/PR:H/UI:N/S:U/CL/I:L/A:N fix_versions- >=11.6.11 >=12.0.9 >=12.1.6 >=12.2.4
    --- Grafana の Correlations 機能で、レガシー相関レコードに影響するクロステナント分離の脆弱性が見つかりました。org_id = 0 のレコードを企業間で返すことができる後方互換性の条件により、データソース管理権限のあるユーザーが、別の企業に属するレガシー相関データを読み取ったり、完全に削除したりする可能性があります。この問題は Grafana 10.2 より前に作成された相関に影響を与え、>=11.6.11、>=12.0.9、>=12.1.6、>=12.2.4で修正されています。この脆弱性を報告してくれた Gyu-hyeok Lee 氏g2hに感謝の意を表します。CVE-2026-21727

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
115186	グラファナ< 12.0.9 不適切な認可	Web App Scanning	Component Vulnerability	2026/4/2	2026/4/2	low
115189	グラファナ 12.3.x < 12.3.3 不適切な許可	Web App Scanning	Component Vulnerability	2026/4/2	2026/4/2	low
115187	グラファナ 12.1.x < 12.1.6 不適切な許可	Web App Scanning	Component Vulnerability	2026/4/2	2026/4/2	low
115188	グラファナ 12.2.x < 12.2.4 不適切な許可	Web App Scanning	Component Vulnerability	2026/4/2	2026/4/2	low
298330	Linux Distros のパッチ未適用の脆弱性: CVE-2026-21727	Nessus	Misc.	2026/2/9	2026/4/16	low

検出

プラグインの検索

low

low

low

low

low