リモートの Redhat Enterprise Linux 8 ホストにインストールされているパッケージは、RHSA-2022: 7519 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - sanitize-url: sanitizeUrl 関数の不適切なサニタイズによる XSS (CVE-2021-23648)

  - Go 1.17.12および Go 1.18.4より前に net/http の HTTP/1 クライアントで無効な Transfer-Encoding ヘッダーを受け入れると、ヘッダーを無効として不適切に拒否する中間サーバーと組み合わせた場合に、HTTP リクエストスマグリングが可能になります。(CVE-2022-1705)

  -Go 1.17.12 および Go 1.18.4 より前の go/parser の Parse 関数における制御されない再帰により、攻撃者が、深くネストされた型または宣言を介して、スタック枯渇によりパニックを引き起こす可能性があります。(CVE-2022-1962)

  - grafana: Forward OAuth Identity Token により、ユーザーは一部のデータソースにアクセスできる場合があります (CVE-2022-21673)

  - client_golang は、Prometheus の Go アプリケーション用のインストルメンテーションライブラリであり、client_golang の promhttp パッケージは、HTTP サーバーおよびクライアントに関連するツールを提供します。バージョン 1.11.1より前の client_golang では、HTTP サーバーは、非標準の HTTP メソッドでリクエストを処理する際に、無制限のカーディナリティによる潜在的なサービス拒否やメモリ枯渇の可能性があります。影響を受けるのは、インストルメント化されたソフトウェアは「RequestsInFlight」を除く「promhttp.InstrumentHandler *」ミドルウェアのいずれかを使用する場合です。
    ミドルウェアの前に特定のメソッド (例:GET) をフィルタリングせず、「method」ラベル名のメトリクスをミドルウェアに渡し、不明な「メソッド」を持つリクエストをフィルタリングする firewall/LB/proxy がありません。
    client_golang バージョン 1.11.1には、この問題のパッチが含まれています。いくつかの回避策が利用可能です。これには、InstrumentHandler で使用されるカウンター/ゲージからの「メソッド」ラベル名の削除が含まれます。影響を受ける promhttp ハンドラーをオフにします。Promhttp ハンドラーの前にカスタムミドルウェアを追加し、Go http.Request によって指定されたリクエストメソッドをサニタイズします。リバースプロキシまたは Web アプリケーションファイヤーウォールを使用し、一部のメソッドのみを許可するように構成されています。(CVE-2022-21698)

  - grafana: データソース処理における XSS の脆弱性 (CVE-2022-21702)

  - grafana：CSRF の脆弱性により、権限昇格につながる可能性があります (CVE-2022-21703)

  - grafana：IDOR の脆弱性により、情報漏洩が発生する可能性があります (CVE-2022-21713)

  - Go 1.17.12および Go 1.18.4より前の encoding/xml の Decoder.Skip の制御されない再帰により、深くネスト化された XML ドキュメントを介してスタックの枯渇により攻撃者がパニックを引き起こす可能性があります。(CVE-2022-28131)

  - Go 1.17.12および Go 1.18.4より前の io/fs における Glob の制御されない再帰により、攻撃者が、多数のパスセパレーターを含むパスを介して、スタック枯渇によりパニックを引き起こす可能性があります。
    (CVE-2022-30630)

  - Go 1.17.12および Go 1.18.4の前の compress/gzip の Reader.Read における制御されない再帰により、攻撃者が、多数の連結された長さゼロの圧縮ファイルを含むアーカイブを介して、スタック枯渇によりパニックを引き起こす可能性があります。(CVE-2022-30631)

  - Go 1.17.12および Go 1.18.4より前の path/filepath における Glob の制御されない再帰により、攻撃者が、多数のパスセパレーターを含むパスを介して、スタック枯渇によりパニックを引き起こす可能性があります。
    (CVE-2022-30632)

  - Go 1.17.12および Go 1.18.4の前の encoding/xml の Unmarshal における制御されない再帰により、攻撃者は、「any」フィールドタグを使用するネスト化されたフィールドを持つ Go 構造体に XML ドキュメントをアンマーシャリングすることで、スタック枯渇によりパニックを引き起こす可能性があります。(CVE-2022-30633)

  - Go 1.17.12および Go 1.18.4より前の encoding/gob の Decoder.Decode の制御されない再帰により、深くネスト化された構造を含むメッセージを介して、スタック枯渇により攻撃者がパニックを引き起こす可能性があります。
    (CVE-2022-30635)

  - Go 1.17.12および Go 1.18.4の前の net/http でのクライアント IP アドレスの不適切な漏洩は、X-Forwarded-For ヘッダーの nil 値を含む Request.Header マップで httputil.ReverseProxy.ServeHTTP を呼び出すことで発生する可能性があります。これにより、クライアント IP を X-Forwarded-For ヘッダーの値として設定するための ReverseProxy が発生します。(CVE-2022-32148)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Redhat Enterprise Linux 9 ホストにインストールされているパッケージは、RHSA-2022: 8057 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - sanitize-url: sanitizeUrl 関数の不適切なサニタイズによる XSS (CVE-2021-23648)

  - Go 1.17.12および Go 1.18.4より前に net/http の HTTP/1 クライアントで無効な Transfer-Encoding ヘッダーを受け入れると、ヘッダーを無効として不適切に拒否する中間サーバーと組み合わせた場合に、HTTP リクエストスマグリングが可能になります。(CVE-2022-1705)

  -Go 1.17.12 および Go 1.18.4 より前の go/parser の Parse 関数における制御されない再帰により、攻撃者が、深くネストされた型または宣言を介して、スタック枯渇によりパニックを引き起こす可能性があります。(CVE-2022-1962)

  - grafana: Forward OAuth Identity Token により、ユーザーは一部のデータソースにアクセスできる場合があります (CVE-2022-21673)

  - client_golang は、Prometheus の Go アプリケーション用のインストルメンテーションライブラリであり、client_golang の promhttp パッケージは、HTTP サーバーおよびクライアントに関連するツールを提供します。バージョン 1.11.1より前の client_golang では、HTTP サーバーは、非標準の HTTP メソッドでリクエストを処理する際に、無制限のカーディナリティによる潜在的なサービス拒否やメモリ枯渇の可能性があります。影響を受けるのは、インストルメント化されたソフトウェアは「RequestsInFlight」を除く「promhttp.InstrumentHandler *」ミドルウェアのいずれかを使用する場合です。
    ミドルウェアの前に特定のメソッド (例:GET) をフィルタリングせず、「method」ラベル名のメトリクスをミドルウェアに渡し、不明な「メソッド」を持つリクエストをフィルタリングする firewall/LB/proxy がありません。
    client_golang バージョン 1.11.1には、この問題のパッチが含まれています。いくつかの回避策が利用可能です。これには、InstrumentHandler で使用されるカウンター/ゲージからの「メソッド」ラベル名の削除が含まれます。影響を受ける promhttp ハンドラーをオフにします。Promhttp ハンドラーの前にカスタムミドルウェアを追加し、Go http.Request によって指定されたリクエストメソッドをサニタイズします。リバースプロキシまたは Web アプリケーションファイヤーウォールを使用し、一部のメソッドのみを許可するように構成されています。(CVE-2022-21698)

  - grafana: データソース処理における XSS の脆弱性 (CVE-2022-21702)

  - grafana：CSRF の脆弱性により、権限昇格につながる可能性があります (CVE-2022-21703)

  - grafana：IDOR の脆弱性により、情報漏洩が発生する可能性があります (CVE-2022-21713)

  - Go 1.17.12および Go 1.18.4より前の encoding/xml の Decoder.Skip の制御されない再帰により、深くネスト化された XML ドキュメントを介してスタックの枯渇により攻撃者がパニックを引き起こす可能性があります。(CVE-2022-28131)

  - Go 1.17.12および Go 1.18.4より前の io/fs における Glob の制御されない再帰により、攻撃者が、多数のパスセパレーターを含むパスを介して、スタック枯渇によりパニックを引き起こす可能性があります。
    (CVE-2022-30630)

  - Go 1.17.12および Go 1.18.4の前の compress/gzip の Reader.Read における制御されない再帰により、攻撃者が、多数の連結された長さゼロの圧縮ファイルを含むアーカイブを介して、スタック枯渇によりパニックを引き起こす可能性があります。(CVE-2022-30631)

  - Go 1.17.12および Go 1.18.4より前の path/filepath における Glob の制御されない再帰により、攻撃者が、多数のパスセパレーターを含むパスを介して、スタック枯渇によりパニックを引き起こす可能性があります。
    (CVE-2022-30632)

  - Go 1.17.12および Go 1.18.4の前の encoding/xml の Unmarshal における制御されない再帰により、攻撃者は、「any」フィールドタグを使用するネスト化されたフィールドを持つ Go 構造体に XML ドキュメントをアンマーシャリングすることで、スタック枯渇によりパニックを引き起こす可能性があります。(CVE-2022-30633)

  - Go 1.17.12および Go 1.18.4より前の encoding/gob の Decoder.Decode の制御されない再帰により、深くネスト化された構造を含むメッセージを介して、スタック枯渇により攻撃者がパニックを引き起こす可能性があります。
    (CVE-2022-30635)

  - Go 1.17.12および Go 1.18.4の前の net/http でのクライアント IP アドレスの不適切な漏洩は、X-Forwarded-For ヘッダーの nil 値を含む Request.Header マップで httputil.ReverseProxy.ServeHTTP を呼び出すことで発生する可能性があります。これにより、クライアント IP を X-Forwarded-For ヘッダーの値として設定するための ReverseProxy が発生します。(CVE-2022-32148)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Oracle Linux 8 ホストに、ELSA-2022-7519 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Go 1.17.12 および Go 1.18.4 より前に net/http の HTTP/1 クライアントで無効な Transfer-Encoding ヘッダーを受け入れると、ヘッダーを無効として不適切に拒否する中間サーバーと組み合わせた場合に、HTTP リクエストスマグリングが可能になります。(CVE-2022-1705)

  - 1.17.12 より前の Go および 1.18.4 より前の 1.18.x の encoding/xml の Decoder.Skip で、深くネスト化された XML ドキュメントを介して、スタック枯渇およびパニックが発生する可能性があります。(CVE-2022-28131)

  - Go 1.17.12 および Go 1.18.4 の前の compress/gzip の Reader.Read における制御されない再帰により、攻撃者が、多数の連結された長さゼロの圧縮ファイルを含むアーカイブを介して、スタック枯渇によりパニックを引き起こす可能性があります。(CVE-2022-30631)

  - Go 1.17.12 および Go 1.18.4 の前の encoding/xml の Unmarshal における制御されない再帰により、攻撃者は、「any」フィールドタグを使用するネスト化されたフィールドを持つ Go 構造体に XML ドキュメントをアンマーシャリングすることで、スタック枯渇によりパニックを引き起こす可能性があります。(CVE-2022-30633)

  - Go 1.17.12 および Go 1.18.4 より前の encoding/gob の Decoder.Decode の制御されない再帰により、深くネスト化された構造を含むメッセージを介して、スタック枯渇により攻撃者がパニックを引き起こす可能性があります。
    (CVE-2022-30635)

  - Go 1.17.12 および Go 1.18.4 の前の net/http でのクライアント IP アドレスの不適切な漏洩は、X-Forwarded-For ヘッダーの nil 値を含む Request.Header マップで httputil.ReverseProxy.ServeHTTP を呼び出すことで発生する可能性があります。これにより、クライアント IP を X-Forwarded-For ヘッダーの値として設定するための ReverseProxy が発生します。(CVE-2022-32148)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。影響を受けるバージョンは、クロスサイトリクエストフォージェリの脆弱性の対象です。これにより、攻撃者は、認証された強い権限の Grafana ユーザー (たとえば、編集者や管理者)に対してクロスオリジン攻撃を仕掛けることにより、権限を昇格できます。
    攻撃者は権限昇格に関するこの脆弱性を悪用し、認証されたユーザーを騙して、強い権限を持つ新しいユーザーとして攻撃者を招待する可能性があります。ユーザーは、至急アップグレードすることが勧められています。この問題についての既知の回避策はありません。(CVE-2022-21703)

  - client_golang は、Prometheus の Go アプリケーション用のインストルメンテーションライブラリであり、client_golang の promhttp パッケージは、HTTP サーバーおよびクライアントに関連するツールを提供します。バージョン 1.11.1より前の client_golang では、HTTP サーバーは、非標準の HTTP メソッドでリクエストを処理する際に、無制限のカーディナリティによる潜在的なサービス拒否やメモリ枯渇の可能性があります。影響を受けるのは、インストルメント化されたソフトウェアは「RequestsInFlight」を除く「promhttp.InstrumentHandler *」ミドルウェアのいずれかを使用する場合です。
    ミドルウェアの前に特定のメソッド (例:GET) をフィルタリングせず、「method」ラベル名のメトリクスをミドルウェアに渡し、不明な「メソッド」を持つリクエストをフィルタリングする firewall/LB/proxy がありません。
    client_golang バージョン 1.11.1には、この問題のパッチが含まれています。いくつかの回避策が利用可能です。これには、InstrumentHandler で使用されるカウンター/ゲージからの「メソッド」ラベル名の削除が含まれます。影響を受ける promhttp ハンドラーをオフにします。Promhttp ハンドラーの前にカスタムミドルウェアを追加し、Go http.Request によって指定されたリクエストメソッドをサニタイズします。リバースプロキシまたは Web アプリケーションファイアウォールを使用し、一部のメソッドのみを許可するように構成されています。(CVE-2022-21698)

  -Go 1.17.12 および Go 1.18.4 より前の go/parser の Parse 関数における制御されない再帰により、攻撃者が、深くネストされた型または宣言を介して、スタック枯渇によりパニックを引き起こす可能性があります。(CVE-2022-1962)

  - Go 1.17.12 および Go 1.18.4 より前の io/fs における Glob の制御されない再帰により、攻撃者が、多数のパスセパレーターを含むパスを介して、スタック枯渇によりパニックを引き起こす可能性があります。
    (CVE-2022-30630)

  - Go 1.17.12 および Go 1.18.4 より前の path/filepath における Glob の制御されない再帰により、攻撃者が、多数のパスセパレーターを含むパスを介して、スタック枯渇によりパニックを引き起こす可能性があります。
    (CVE-2022-30632)

  - 6.0.0 より前の @braintree/sanitize-url パッケージは、sanitizeUrl 関数での不適切なサニタイズにより、クロスサイトスクリプティング (XSS) に対して脆弱です。(CVE-2021-23648)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。影響を受けるバージョンでは、データソースで Forward OAuth Identity 機能が有効になっている場合、API トークン (他のユーザー認証情報なし)でそのデータソースに対してクエリを送信すると、最後にログインしたユーザーの OAuth Identity が転送されます。
    これにより、API トークン保有者は、意図されたアクセス権がないデータを取得する可能性があります。この攻撃は、Forward OAuth Identity 機能をサポートするデータソースを持つ Grafana インスタンス、Forward OAuth Identity 機能がオンに切り替えられたデータソースを持つ Grafana インスタンス、OAuth が有効な Grafana インスタンス、および使用可能な API キーを持つ Grafana インスタンスに依存しています。この問題には、バージョン 7.5.13および 8.3.4でパッチが適用されています。(CVE-2022-21673)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。影響を受けるバージョンでは、攻撃者が Grafana データソースまたはプラグインプロキシを通じて HTML コンテンツを提供し、特別に細工されたリンクを使用してユーザーを騙してこの HTML ページにアクセスさせ、クロスサイトスクリプティング (XSS)攻撃を実行する可能性があります。攻撃者は、特定の Grafana インスタンスの既存のデータソースを侵害するか、独自のパブリックサービスを設定し、誰かに Grafana インスタンスで設定するように命令する可能性があります。影響を受けるのは、以下のすべてが該当する場合です。データソースプロキシ: Access Mode および URL としてサーバーで構成された Grafana HTTP ベースデータソース。攻撃者は、上記のデータソースの URL を提供する HTTP サーバーを制御している必要があり、攻撃者が制御しているデータソースをポイントする特別に細工されたリンクをクリックする必要があります。プラグインプロキシの場合: URL で構成され、有効化されている Grafana HTTP ベースのアプリプラグイン。攻撃者は、上記のアプリの URL を提供する HTTP サーバーを制御している必要があり、攻撃者が制御するプラグインをポイントする特別に細工されたリンクは、認証されたユーザーによってクロックオンされる必要があります。バックエンドプラグインリソースの場合: 攻撃者は、細工されたリンクを通じて、認証されたユーザーを侵害されたプラグインに誘導できる必要があります。ユーザーは、パッチを適用したバージョンに更新することが推奨されています。この脆弱性に対する既知の回避策はありません。(CVE-2022-21702)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。影響を受けるバージョンの Grafana が、ユーザー承認を適切に処理しない複数の API エンドポイントを公開します。「/ teams /: teamId」では、認証された攻撃者が特定のチーム ID に対してクエリすることで意図されていないデータを表示することができるようになります。「/teams/: search」では、認証された攻撃者がチームを検索して、ユーザーがアクセスできないチームを含む、利用可能なチームの総数を確認する可能性があります。また、「/teams/: teamId/members」では、editors_can_admin フラグが有効な場合、認証された攻撃者が特定のチーム ID をクエリすることで意図しないデータを表示する可能性があります。
    ユーザーは、至急アップグレードすることが勧められています。この問題についての既知の回避策はありません。
    (CVE-2022-21713)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの SUSE Linux SLES12 / SLES_SAP12 ホストには、SUSE-SU-2022:2134-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 1.18.4 より前および 1.19.2 より前の 1.19.x の MIT Kerberos 5 (別名 krb5) の Key Distribution Center (KDC) における kdc/kdc_preauth_ec.c の ec_verify により、リモートの攻撃者は NULL ポインターデリファレンスおよびデーモンのクラッシュを引き起こすことができます。これは、特定の状況で戻り値が適切に管理されないことが原因で発生します。(CVE-2021-36222)

  -SM2暗号化データを復号するには、アプリケーションがAPI 関数EVP_PKEY_decrypt() を呼び出す必要があります。通常、アプリケーションはこの関数を2回呼び出します。初回の入力時点ではoutパラメーターはNULLにできます。また終了時点でoutlenパラメーターには、復号された平文を保持するために必要なバッファサイズでデータが投入されます。その後、アプリケーションは十分なサイズのバッファを割り振り、EVP_PKEY_decrypt() を再び呼び出すことができますが、今回、outパラメーターにNULL以外の値が渡されました。SM2復号化コードの実装におけるバグにより、EVP_PKEY_decrypt()の初回呼び出しに必要な平文を保持するために求められるバッファサイズの計算が、2回目の呼び出しで必要となる実際のサイズよりも小さくなることがあります。これにより、アプリケーションがEVP_PKEY_decrypt() を2回目に呼び出すときにバッファが小さすぎるため、バッファオーバーフローが引き起こされる可能性があります。アプリケーションに対して復号化するためのSM2コンテンツを提示できる悪意のある攻撃者は、選択したデータに関してバッファを最大62バイトまでオーバーフローさせ、バッファ後に保持される他のデータコンテンツを変更することができます。それにより、アプリケーションの動作が変更されたり、アプリケーションがクラッシュされたりする可能性があります。バッファの場所はアプリケーションによって異なりますが、通常はヒープに割り当てられます。OpenSSL 1.1.1l で修正されました (1.1.1-1.1.1k が影響を受けます)。
    (CVE-2021-3711)

  -Grafanaは、オープンソースのデータ視覚化プラットフォームです。影響を受けるバージョンでは、認証されていないユーザーおよび認証されたユーザーが、リテラルパスにアクセスすることで、最も低いデータベースキーでスナップショットを表示できます。/dashboard/snapshot/: key、または/api/snapshots/: key。スナップショットpublic_mode構成設定がtrue (デフォルトはfalse) に設定されている場合、認証されていないユーザーは、リテラルパスにアクセスすることで、最も低いデータベースキーでスナップショットを削除できます。/api/snapshots-delete/: deleteKey。スナップショットpublic_modeの設定に関わらず、認証されているユーザーは、リテラルパスにアクセスすることで、最も低いデータベースキーでスナップショットを削除できます。/api/snapshots/: key、または/api/snapshots-delete/: deleteKey。削除と表示の組み合わせにより、すべてのスナップショットデータを完全にウォークスルーすることができますが、スナップショットデータは完全に失われます。この問題はバージョン8.1.6および7.5.11で解決済みです。何らかの理由でアップグレードできない場合は、リバースプロキシなどを使用して、リテラルパスへのアクセスをブロックできます。
    /api/snapshots/: key、/api/snapshots-delete/: deleteKey、/dashboard/snapshot/: key、および/api/snapshots/: key。
    これらには通常の機能がなく、制度エフェクトなしに無効化できます。(CVE-2021-39226)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。影響を受けるバージョンでは、攻撃者が被害者に、脆弱なページを参照している URL にアクセスするよう誘導することができる場合、任意の JavaScript コンテンツが被害者のブラウザのコンテキスト内で実行される可能性があります。悪意のあるリンクにアクセスするユーザーは認証されていない必要があり、リンクはメニューバーのログインボタンを含むページに対するものである必要があります。AngularJS レンダリングを悪用し、AngularJS 式の補間バインディングを含めるために、URL を細工する必要があります。AngularJS は、補間バインディングに二重中括弧を使用しています：{{}}例：
    {{constructor.constructor(alert(1)')()}}。ユーザーがリンクをたどり、ページがレンダリングされると、ログインボタンに、ログインページへのリダイレクトを強制するクエリパラメーターのある元のリンクが含まれます。URL は検証されず、AngularJS レンダリングエンジンは URL に含まれる JavaScript 式を実行します。ユーザーは、至急アップグレードすることが勧められています。何らかの理由でアップグレードできない場合は、リバースプロキシなどを使用して、パスのリテラルストリング {{ へのアクセスをブロックできます。
    (CVE-2021-41174)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。影響を受けるバージョンでは、きめ細かいアクセスコントロールのベータ機能が有効で、Grafana インスタンスに複数の組織がある場合、管理者は他の組織のユーザーにアクセスできます。Grafana 8.0では、Organization Admin ロールを持つユーザーが、自分が管理者でない他の組織のユーザーのロールを一覧表示、追加、削除、更新できるメカニズムを導入しました。粒度の細かいアクセスコントロールを有効にすると、組織管理者は、組織管理者ロールのない別の組織のユーザーのロールを一覧表示、追加、削除、更新できます。粒度の細かいアクセスコントロールのベータが有効になっていて、複数の組織がいる v8.0 と v8.2.3 の間のすべてのインストールは、できるだけ早くアップグレードする必要があります。アップグレードできない場合は、機能フラグを使用して、粒度の細かいアクセスコントロールをオフにする必要があります。(CVE-2021-41244)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。Grafana バージョン 8.0.0-beta1 から 8.3.0(パッチを適用したバージョンは除く) は、ディレクトリトラバーサルに対して脆弱であり、ローカルファイルへのアクセスを許可します。
    脆弱な URL パスは次のとおりです。「<grafana_host_url>/public/plugins//」はインストールされているプラグインのプラグイン ID です。Grafana Cloud が脆弱になったことは一度もありません。ユーザーはパッチを適用したバージョン 8.0.7、8.1.8、8.2.7、または 8.3.1にアップグレードすることが勧められています。GitHub セキュリティアドバイザリには、脆弱な URL パス、緩和策、および漏洩のタイムラインに関する詳細情報が含まれています。(CVE-2021-43798)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。バージョン 8.3.2および 7.5.12より前の Grafana には、完全に小文字または完全に大文字の .md ファイルに対するディレクトリトラバーサルの脆弱性が含まれています。この脆弱性は範囲が限定されており、認証されたユーザーのみが、拡張子が .md のファイルにアクセスできます。Grafana Cloud インスタンスはこの脆弱性の影響を受けていません。ユーザーはパッチを適用したバージョン 8.3.2または 7.5.12にアップグレードする必要があります。アップグレードできないユーザーの場合、リクエストの PATH を正規化する Grafana の前でリバースプロキシを実行すると、この脆弱性が緩和されます。プロキシは、URL エンコードされたパスも処理できる必要があります。または、完全に小文字または完全に大文字の .md ファイルの場合、ユーザーは、インライン化されたプラグインヘルプテキスト以外の機能を失うことなく、/api/plugins/.*/markdown/.* をブロックできます。(CVE-2021-43813)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。バージョン 8.3.2および 7.5.12より前の Grafana には、任意の .csv ファイルに対するディレクトリトラバーサルがあります。これは、TestData DB データソースと呼ばれる開発者用テストツールが有効化され、構成されているインスタンスにのみ影響します。この脆弱性は範囲が限定されており、認証されたユーザーのみが、拡張子が .csv のファイルにアクセスできます。Grafana Cloud インスタンスはこの脆弱性の影響を受けていません。バージョン 8.3.2および 7.5.12には、この問題に対するパッチが含まれています。アップグレードできないユーザーが利用できる回避策があります。リクエストの PATH を正規化する Grafana の前でリバースプロキシを実行すると、この脆弱性が緩和されます。プロキシは、URL エンコードされたパスも処理できる必要があります。(CVE-2021-43815)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。影響を受けるバージョンでは、データソースで Forward OAuth Identity 機能が有効になっている場合、API トークン (他のユーザー認証情報なし)でそのデータソースに対してクエリを送信すると、最後にログインしたユーザーの OAuth Identity が転送されます。
    これにより、API トークン保有者は、意図されたアクセス権がないデータを取得する可能性があります。この攻撃は、Forward OAuth Identity 機能をサポートするデータソースを持つ Grafana インスタンス、Forward OAuth Identity 機能がオンに切り替えられたデータソースを持つ Grafana インスタンス、OAuth が有効な Grafana インスタンス、および使用可能な API キーを持つ Grafana インスタンスに依存しています。この問題には、バージョン 7.5.13および 8.3.4でパッチが適用されています。(CVE-2022-21673)

  - client_golang は、Prometheus の Go アプリケーション用のインストルメンテーションライブラリであり、client_golang の promhttp パッケージは、HTTP サーバーおよびクライアントに関連するツールを提供します。バージョン 1.11.1より前の client_golang では、HTTP サーバーは、非標準の HTTP メソッドでリクエストを処理する際に、無制限のカーディナリティによる潜在的なサービス拒否やメモリ枯渇の可能性があります。影響を受けるのは、インストルメント化されたソフトウェアは「RequestsInFlight」を除く「promhttp.InstrumentHandler *」ミドルウェアのいずれかを使用する場合です。
    ミドルウェアの前に特定のメソッド (例:GET) をフィルタリングせず、「method」ラベル名のメトリクスをミドルウェアに渡し、不明な「メソッド」を持つリクエストをフィルタリングする firewall/LB/proxy がありません。
    client_golang バージョン 1.11.1には、この問題のパッチが含まれています。いくつかの回避策が利用可能です。これには、InstrumentHandler で使用されるカウンター/ゲージからの「メソッド」ラベル名の削除が含まれます。影響を受ける promhttp ハンドラーをオフにします。Promhttp ハンドラーの前にカスタムミドルウェアを追加し、Go http.Request によって指定されたリクエストメソッドをサニタイズします。リバースプロキシまたは Web アプリケーションファイアウォールを使用し、一部のメソッドのみを許可するように構成されています。(CVE-2022-21698)

  - Grafanaは、監視および可観測性のためのオープンソースプラットフォームです。影響を受けるバージョンでは、攻撃者が Grafana データソースまたはプラグインプロキシを通じて HTML コンテンツを提供し、特別に細工されたリンクを使用してユーザーを騙してこの HTML ページにアクセスさせ、クロスサイトスクリプティング (XSS)攻撃を実行する可能性があります。攻撃者は、特定の Grafana インスタンスの既存のデータソースを侵害するか、独自のパブリックサービスを設定し、誰かに Grafana インスタンスで設定するように命令する可能性があります。影響を受けるのは、以下のすべてが該当する場合です。データソースプロキシ：Access Mode および URL としてサーバーで構成された Grafana HTTP ベースデータソース。攻撃者は、上記のデータソースの URL を提供する HTTP サーバーを制御している必要があり、攻撃者が制御しているデータソースをポイントする特別に細工されたリンクをクリックする必要があります。プラグインプロキシの場合: URL で構成され、有効化されている Grafana HTTP ベースのアプリプラグイン。攻撃者は、上記のアプリの URL を提供する HTTP サーバーを制御している必要があり、攻撃者が制御するプラグインをポイントする特別に細工されたリンクは、認証されたユーザーによってクロックオンされる必要があります。バックエンドプラグインリソースの場合: 攻撃者は、細工されたリンクを通じて、認証されたユーザーを侵害されたプラグインに誘導できる必要があります。ユーザーは、パッチを適用したバージョンに更新することが推奨されています。この脆弱性に対する既知の回避策はありません。(CVE-2022-21702)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。影響を受けるバージョンは、クロスサイトリクエストフォージェリの脆弱性の対象です。これにより、攻撃者は、認証された強い権限の Grafana ユーザー (たとえば、編集者や管理者)に対してクロスオリジン攻撃を仕掛けることにより、権限を昇格できます。
    攻撃者は権限昇格に関するこの脆弱性を悪用し、認証されたユーザーを騙して、強い権限を持つ新しいユーザーとして攻撃者を招待する可能性があります。ユーザーは、至急アップグレードすることが勧められています。この問題についての既知の回避策はありません。(CVE-2022-21703)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。影響を受けるバージョンの Grafana が、ユーザー承認を適切に処理しない複数の API エンドポイントを公開します。「/ teams /: teamId」では、認証された攻撃者が特定のチーム ID に対してクエリすることで意図されていないデータを表示することができるようになります。「/teams/: search」では、認証された攻撃者がチームを検索して、ユーザーがアクセスできないチームを含む、利用可能なチームの総数を確認する可能性があります。また、「/teams/: teamId/members」では、editors_can_admin フラグが有効な場合、認証された攻撃者が特定のチーム ID をクエリすることで意図しないデータを表示する可能性があります。
    ユーザーは、至急アップグレードすることが勧められています。この問題についての既知の回避策はありません。
    (CVE-2022-21713)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの SUSE Linux SLED15 / SLES15 / openSUSE 15 ホストには、SUSE-SU-2022:3765-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。影響を受けるバージョンでは、攻撃者が Grafana データソースまたはプラグインプロキシを通じて HTML コンテンツを提供し、特別に細工されたリンクを使用してユーザーを騙してこの HTML ページにアクセスさせ、クロスサイトスクリプティング (XSS)攻撃を実行する可能性があります。攻撃者は、特定の Grafana インスタンスの既存のデータソースを侵害するか、独自のパブリックサービスを設定し、誰かに Grafana インスタンスで設定するように命令する可能性があります。影響を受けるのは、以下のすべてが該当する場合です。データソースプロキシ: Access Mode および URL としてサーバーで構成された Grafana HTTP ベースデータソース。攻撃者は、上記のデータソースの URL を提供する HTTP サーバーを制御している必要があり、攻撃者が制御しているデータソースをポイントする特別に細工されたリンクをクリックする必要があります。プラグインプロキシの場合: URL で構成され、有効化されている Grafana HTTP ベースのアプリプラグイン。攻撃者は、上記のアプリの URL を提供する HTTP サーバーを制御している必要があり、攻撃者が制御するプラグインをポイントする特別に細工されたリンクは、認証されたユーザーによってクロックオンされる必要があります。バックエンドプラグインリソースの場合: 攻撃者は、細工されたリンクを通じて、認証されたユーザーを侵害されたプラグインに誘導できる必要があります。ユーザーは、パッチを適用したバージョンに更新することが推奨されています。この脆弱性に対する既知の回避策はありません。(CVE-2022-21702)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。影響を受けるバージョンは、クロスサイトリクエストフォージェリの脆弱性の対象です。これにより、攻撃者は、認証された強い権限の Grafana ユーザー (たとえば、編集者や管理者)に対してクロスオリジン攻撃を仕掛けることにより、権限を昇格できます。
    攻撃者は権限昇格に関するこの脆弱性を悪用し、認証されたユーザーを騙して、強い権限を持つ新しいユーザーとして攻撃者を招待する可能性があります。ユーザーは、至急アップグレードすることが勧められています。この問題についての既知の回避策はありません。(CVE-2022-21703)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。影響を受けるバージョンの Grafana が、ユーザー承認を適切に処理しない複数の API エンドポイントを公開します。「/ teams /: teamId」では、認証された攻撃者が特定のチーム ID に対してクエリすることで意図されていないデータを表示することができるようになります。「/teams/: search」では、認証された攻撃者がチームを検索して、ユーザーがアクセスできないチームを含む、利用可能なチームの総数を確認する可能性があります。また、「/teams/: teamId/members」では、editors_can_admin フラグが有効な場合、認証された攻撃者が特定のチーム ID をクエリすることで意図しないデータを表示する可能性があります。
    ユーザーは、至急アップグレードすることが勧められています。この問題についての既知の回避策はありません。
    (CVE-2022-21713)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。9.0.3、8.5.9、8.4.10、および 8.3.10より前の 8.xおよび 9.xブランチのバージョンは、Grafana の統合アラート機能を介して、保存されているクロスサイトスクリプティングに対して脆弱です。攻撃者がこの脆弱性を悪用し、認証された管理者を騙してリンクをクリックさせることで、権限を編集者から管理者に昇格させる可能性があります。バージョン 9.0.3、8.5.9、8.4.10、8.3.10 にはパッチが含まれています。回避策として、アラートを無効にするか、レガシーアラートを使用することができます。
    (CVE-2022-31097)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。9.0.3、8.5.9、8.4.10、8.3.10 までのバージョン 5.3では、認証されている悪意のあるユーザーが、ログイン名を提供する構成済みの OAuth IdP を介して Grafana インスタンスにログインし、その Grafana インスタンスの別のユーザーのアカウントを乗っ取る可能性があります。悪意のあるユーザーが OAuth 経由で Grafana へのログインを承認され、悪意のあるユーザーの外部ユーザー ID が Grafana のアカウントに関連付けられておらず、悪意のあるユーザーのメールアドレスがGrafanaのアカウントに関連付けられておらず、悪意のあるユーザーがターゲットユーザーの Grafana ユーザー名を知っている場合に、これが発生する可能性があります。これらの条件が満たされた場合、悪意のあるユーザーが OAuth プロバイダーのユーザー名をターゲットユーザーのユーザー名に設定し、OAuth フローを通過して Grafana にログインする可能性があります。上記の条件がすべて満たされている場合、ログイン中に外部ユーザーアカウントと内部ユーザーアカウントがリンクされる方法が原因で、悪意のあるユーザーがターゲットユーザーの Grafana アカウントにログインする可能性があります。バージョン 9.0.3、8.5.9、8.4.10、8.3.10 には、この問題に対するパッチが含まれています。回避策として、関係するユーザーは Grafana インスタンスへの OAuth ログインを無効にするか、OAuth 経由でログインする権限があるすべてのユーザーに、対応する Grafana のユーザーアカウントをメールアドレスにリンクさせることができます。
    (CVE-2022-31107)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの CentOS Linux 8 ホストにインストールされているパッケージは、CESA-2022: 7519 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - sanitize-url: sanitizeUrl 関数の不適切なサニタイズによる XSS (CVE-2021-23648)

  - golang: net/http: Transfer-Encoding ヘッダーの不適切なサニタイズ (CVE-2022-1705)

  - golang: go/parser: すべての Parse * 関数におけるスタックの枯渇 (CVE-2022-1962)

  - grafana：Forward OAuth Identity Token により、ユーザーは一部のデータソースにアクセスできる場合があります (CVE-2022-21673)

  - prometheus/client_golang: InstrumentHandlerCounter を使用したサービス拒否 (CVE-2022-21698)

  - grafana：データソース処理における XSS の脆弱性 (CVE-2022-21702)

  - grafana：CSRF の脆弱性により、権限昇格につながる可能性があります (CVE-2022-21703)

  - grafana：IDOR の脆弱性により、情報漏洩が発生する可能性があります (CVE-2022-21713)

  - golang: encoding/xml: Decoder.Skip でのスタックの枯渇 (CVE-2022-28131)

  - golang: io/fs: Glob でのスタックの枯渇 (CVE-2022-30630)

  - golang: compress/gzip: Reader.Read のスタックの枯渇 (CVE-2022-30631)

  - golang: path/filepath: Glob でのスタックの枯渇 (CVE-2022-30632)

  - golang: encoding/xml: Unmarshal でのスタックの枯渇 (CVE-2022-30633)

  - golang: encoding/gob: Decoder.Decode でのスタックの枯渇 (CVE-2022-30635)

  - golang: net/http/httputil: NewSingleHostReverseProxy - 機能していない X-Forwarded-For の除外 (CVE-2022-32148)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの openSUSE 15 ホストには、SUSE-SU-2022:1396-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  -1.18.4より前および1.19.2より前の1.19.xのMIT Kerberos 5 (別名krb5) のKey Distribution Center (KDC) におけるkdc/kdc_preauth_ec.cのec_verifyにより、リモートの攻撃者はNULLポインターデリファレンスおよびデーモンのクラッシュを引き起こすことができます。これは、特定の状況で戻り値が適切に管理されないことが原因で発生します。(CVE-2021-36222)

  -SM2暗号化データを復号するには、アプリケーションがAPI関数EVP_PKEY_decrypt()を呼び出す必要があります。通常、アプリケーションはこの関数を2回呼び出します。初回の入力時点ではoutパラメーターはNULLにできます。また終了時点でoutlenパラメーターには、復号された平文を保持するために必要なバッファサイズでデータが投入されます。その後、アプリケーションは十分なサイズのバッファを割り振り、EVP_PKEY_decrypt()を再び呼び出すことができますが、今回、outパラメーターにNULL以外の値が渡されました。SM2復号化コードの実装におけるバグにより、EVP_PKEY_decrypt()の初回呼び出しに必要な平文を保持するために求められるバッファサイズの計算が、2回目の呼び出しで必要となる実際のサイズよりも小さくなることがあります。これにより、アプリケーションがEVP_PKEY_decrypt()を2回目に呼び出すときにバッファが小さすぎるため、バッファオーバーフローが引き起こされる可能性があります。アプリケーションに対して復号化するためのSM2コンテンツを提示できる悪意のある攻撃者は、選択したデータに関してバッファを最大62バイトまでオーバーフローさせ、バッファ後に保持される他のデータコンテンツを変更することができます。それにより、アプリケーションの動作が変更されたり、アプリケーションがクラッシュされたりする可能性があります。バッファの場所はアプリケーションによって異なりますが、通常はヒープに割り当てられます。OpenSSL 1.1.1l で修正されました (1.1.1-1.1.1k が影響を受けます)。
    (CVE-2021-3711)

  -Grafanaは、オープンソースのデータ視覚化プラットフォームです。影響を受けるバージョンでは、認証されていないユーザーおよび認証されたユーザーが、リテラルパスにアクセスすることで、最も低いデータベースキーでスナップショットを表示できます。/dashboard/snapshot/: key、または/api/snapshots/: key。スナップショットpublic_mode構成設定がtrue (デフォルトはfalse) に設定されている場合、認証されていないユーザーは、リテラルパスにアクセスすることで、最も低いデータベースキーでスナップショットを削除できます。/api/snapshots-delete/: deleteKey。スナップショットpublic_modeの設定に関わらず、認証されているユーザーは、リテラルパスにアクセスすることで、最も低いデータベースキーでスナップショットを削除できます。/api/snapshots/: key、または/api/snapshots-delete/: deleteKey。削除と表示の組み合わせにより、すべてのスナップショットデータを完全にウォークスルーすることができますが、スナップショットデータは完全に失われます。この問題はバージョン8.1.6および7.5.11で解決済みです。何らかの理由でアップグレードできない場合は、リバースプロキシなどを使用して、リテラルパスへのアクセスをブロックできます。
    /api/snapshots/: key、/api/snapshots-delete/: deleteKey、/dashboard/snapshot/: key、および/api/snapshots/: key。
    これらには通常の機能がなく、制度エフェクトなしに無効化できます。(CVE-2021-39226)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。影響を受けるバージョンでは、攻撃者が被害者に、脆弱なページを参照している URL にアクセスするよう誘導することができる場合、任意の JavaScript コンテンツが被害者のブラウザのコンテキスト内で実行される可能性があります。悪意のあるリンクにアクセスするユーザーは認証されていない必要があり、リンクはメニューバーのログインボタンを含むページに対するものである必要があります。AngularJS レンダリングを悪用し、AngularJS 式の補間バインディングを含めるために、URL を細工する必要があります。AngularJS は、補間バインディングに二重中括弧を使用しています：{{}}例：
    {{constructor.constructor(alert(1)')()}}。ユーザーがリンクをたどり、ページがレンダリングされると、ログインボタンに、ログインページへのリダイレクトを強制するクエリパラメーターのある元のリンクが含まれます。URL は検証されず、AngularJS レンダリングエンジンは URL に含まれる JavaScript 式を実行します。ユーザーは、至急アップグレードすることが勧められています。何らかの理由でアップグレードできない場合は、リバースプロキシなどを使用して、パスのリテラルストリング {{ へのアクセスをブロックできます。
    (CVE-2021-41174)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。影響を受けるバージョンでは、きめ細かいアクセスコントロールのベータ機能が有効で、Grafana インスタンスに複数の組織がある場合、管理者は他の組織のユーザーにアクセスできます。Grafana 8.0では、Organization Admin ロールを持つユーザーが、自分が管理者でない他の組織のユーザーのロールを一覧表示、追加、削除、更新できるメカニズムを導入しました。粒度の細かいアクセスコントロールを有効にすると、組織管理者は、組織管理者ロールのない別の組織のユーザーのロールを一覧表示、追加、削除、更新できます。粒度の細かいアクセスコントロールのベータが有効になっていて、複数の組織がいる v8.0 と v8.2.3 の間のすべてのインストールは、できるだけ早くアップグレードする必要があります。アップグレードできない場合は、機能フラグを使用して、粒度の細かいアクセスコントロールをオフにする必要があります。(CVE-2021-41244)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。Grafana バージョン 8.0.0-beta1 から 8.3.0(パッチを適用したバージョンは除く) は、ディレクトリトラバーサルに対して脆弱であり、ローカルファイルへのアクセスを許可します。
    脆弱な URL パスは次のとおりです。「<grafana_host_url>/public/plugins//」はインストールされているプラグインのプラグイン ID です。Grafana Cloud が脆弱になったことは一度もありません。ユーザーはパッチを適用したバージョン 8.0.7、8.1.8、8.2.7、または 8.3.1にアップグレードすることが勧められています。GitHub セキュリティアドバイザリには、脆弱な URL パス、緩和策、および漏洩のタイムラインに関する詳細情報が含まれています。(CVE-2021-43798)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。バージョン 8.3.2および 7.5.12より前の Grafana には、完全に小文字または完全に大文字の .md ファイルに対するディレクトリトラバーサルの脆弱性が含まれています。この脆弱性は範囲が限定されており、認証されたユーザーのみが、拡張子が .md のファイルにアクセスできます。Grafana Cloud インスタンスはこの脆弱性の影響を受けていません。ユーザーはパッチを適用したバージョン 8.3.2または 7.5.12にアップグレードする必要があります。アップグレードできないユーザーの場合、リクエストの PATH を正規化する Grafana の前でリバースプロキシを実行すると、この脆弱性が緩和されます。プロキシは、URL エンコードされたパスも処理できる必要があります。または、完全に小文字または完全に大文字の .md ファイルの場合、ユーザーは、インライン化されたプラグインヘルプテキスト以外の機能を失うことなく、/api/plugins/.*/markdown/.* をブロックできます。(CVE-2021-43813)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。バージョン 8.3.2および 7.5.12より前の Grafana には、任意の .csv ファイルに対するディレクトリトラバーサルがあります。これは、TestData DB データソースと呼ばれる開発者用テストツールが有効化され、構成されているインスタンスにのみ影響します。この脆弱性は範囲が限定されており、認証されたユーザーのみが、拡張子が .csv のファイルにアクセスできます。Grafana Cloud インスタンスはこの脆弱性の影響を受けていません。バージョン 8.3.2および 7.5.12には、この問題に対するパッチが含まれています。アップグレードできないユーザーが利用できる回避策があります。リクエストの PATH を正規化する Grafana の前でリバースプロキシを実行すると、この脆弱性が緩和されます。プロキシは、URL エンコードされたパスも処理できる必要があります。(CVE-2021-43815)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。影響を受けるバージョンでは、データソースで Forward OAuth Identity 機能が有効になっている場合、API トークン (他のユーザー認証情報なし)でそのデータソースに対してクエリを送信すると、最後にログインしたユーザーの OAuth Identity が転送されます。
    これにより、API トークン保有者は、意図されたアクセス権がないデータを取得する可能性があります。この攻撃は、Forward OAuth Identity 機能をサポートするデータソースを持つ Grafana インスタンス、Forward OAuth Identity 機能がオンに切り替えられたデータソースを持つ Grafana インスタンス、OAuth が有効な Grafana インスタンス、および使用可能な API キーを持つ Grafana インスタンスに依存しています。この問題には、バージョン 7.5.13および 8.3.4でパッチが適用されています。(CVE-2022-21673)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。影響を受けるバージョンでは、攻撃者が Grafana データソースまたはプラグインプロキシを通じて HTML コンテンツを提供し、特別に細工されたリンクを使用してユーザーを騙してこの HTML ページにアクセスさせ、クロスサイトスクリプティング (XSS)攻撃を実行する可能性があります。攻撃者は、特定の Grafana インスタンスの既存のデータソースを侵害するか、独自のパブリックサービスを設定し、誰かに Grafana インスタンスで設定するように命令する可能性があります。影響を受けるのは、以下のすべてが該当する場合です。データソースプロキシ: Access Mode および URL としてサーバーで構成された Grafana HTTP ベースデータソース。攻撃者は、上記のデータソースの URL を提供する HTTP サーバーを制御している必要があり、攻撃者が制御しているデータソースをポイントする特別に細工されたリンクをクリックする必要があります。プラグインプロキシの場合: URL で構成され、有効化されている Grafana HTTP ベースのアプリプラグイン。攻撃者は、上記のアプリの URL を提供する HTTP サーバーを制御している必要があり、攻撃者が制御するプラグインをポイントする特別に細工されたリンクは、認証されたユーザーによってクロックオンされる必要があります。バックエンドプラグインリソースの場合: 攻撃者は、細工されたリンクを通じて、認証されたユーザーを侵害されたプラグインに誘導できる必要があります。ユーザーは、パッチを適用したバージョンに更新することが推奨されています。この脆弱性に対する既知の回避策はありません。(CVE-2022-21702)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。影響を受けるバージョンは、クロスサイトリクエストフォージェリの脆弱性の対象です。これにより、攻撃者は、認証された強い権限の Grafana ユーザー (たとえば、編集者や管理者)に対してクロスオリジン攻撃を仕掛けることにより、権限を昇格できます。
    攻撃者は権限昇格に関するこの脆弱性を悪用し、認証されたユーザーを騙して、強い権限を持つ新しいユーザーとして攻撃者を招待する可能性があります。ユーザーは、至急アップグレードすることが勧められています。この問題についての既知の回避策はありません。(CVE-2022-21703)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。影響を受けるバージョンの Grafana が、ユーザー承認を適切に処理しない複数の API エンドポイントを公開します。「/ teams /: teamId」では、認証された攻撃者が特定のチーム ID に対してクエリすることで意図されていないデータを表示することができるようになります。「/teams/: search」では、認証された攻撃者がチームを検索して、ユーザーがアクセスできないチームを含む、利用可能なチームの総数を確認する可能性があります。また、「/teams/: teamId/members」では、editors_can_admin フラグが有効な場合、認証された攻撃者が特定のチーム ID をクエリすることで意図しないデータを表示する可能性があります。
    ユーザーは、至急アップグレードすることが勧められています。この問題についての既知の回避策はありません。
    (CVE-2022-21713)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Oracle Linux 9 ホストに、ELSA-2022-8057 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - client_golang は、Prometheus の Go アプリケーション用のインストルメンテーションライブラリであり、client_golang の promhttp パッケージは、HTTP サーバーおよびクライアントに関連するツールを提供します。バージョン 1.11.1より前の client_golang では、HTTP サーバーは、非標準の HTTP メソッドでリクエストを処理する際に、無制限のカーディナリティによる潜在的なサービス拒否やメモリ枯渇の可能性があります。影響を受けるのは、インストルメント化されたソフトウェアは「RequestsInFlight」を除く「promhttp.InstrumentHandler *」ミドルウェアのいずれかを使用する場合です。
    ミドルウェアの前に特定のメソッド (例:GET) をフィルタリングせず、「method」ラベル名のメトリクスをミドルウェアに渡し、不明な「メソッド」を持つリクエストをフィルタリングする firewall/LB/proxy がありません。
    client_golang バージョン 1.11.1には、この問題のパッチが含まれています。いくつかの回避策が利用可能です。これには、InstrumentHandler で使用されるカウンター/ゲージからの「メソッド」ラベル名の削除が含まれます。影響を受ける promhttp ハンドラーをオフにします。Promhttp ハンドラーの前にカスタムミドルウェアを追加し、Go http.Request によって指定されたリクエストメソッドをサニタイズします。リバースプロキシまたは Web アプリケーションファイアウォールを使用し、一部のメソッドのみを許可するように構成されています。(CVE-2022-21698)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。影響を受けるバージョンの Grafana が、ユーザー承認を適切に処理しない複数の API エンドポイントを公開します。「/ teams /: teamId」では、認証された攻撃者が特定のチーム ID に対してクエリすることで意図されていないデータを表示することができるようになります。「/teams/: search」では、認証された攻撃者がチームを検索して、ユーザーがアクセスできないチームを含む、利用可能なチームの総数を確認する可能性があります。また、「/teams/: teamId/members」では、editors_can_admin フラグが有効な場合、認証された攻撃者が特定のチーム ID をクエリすることで意図しないデータを表示する可能性があります。
    ユーザーは、至急アップグレードすることが勧められています。この問題についての既知の回避策はありません。
    (CVE-2022-21713)

  - Go 1.17.12および Go 1.18.4の前の net/http でのクライアント IP アドレスの不適切な漏洩は、X-Forwarded-For ヘッダーの nil 値を含む Request.Header マップで httputil.ReverseProxy.ServeHTTP を呼び出すことで発生する可能性があります。これにより、クライアント IP を X-Forwarded-For ヘッダーの値として設定するための ReverseProxy が発生します。(CVE-2022-32148)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。影響を受けるバージョンは、クロスサイトリクエストフォージェリの脆弱性の対象です。これにより、攻撃者は、認証された強い権限の Grafana ユーザー (たとえば、編集者や管理者)に対してクロスオリジン攻撃を仕掛けることにより、権限を昇格できます。
    攻撃者は権限昇格に関するこの脆弱性を悪用し、認証されたユーザーを騙して、強い権限を持つ新しいユーザーとして攻撃者を招待する可能性があります。ユーザーは、至急アップグレードすることが勧められています。この問題についての既知の回避策はありません。(CVE-2022-21703)

  - Go 1.17.12および Go 1.18.4より前の path/filepath における Glob の制御されない再帰により、攻撃者が、多数のパスセパレーターを含むパスを介して、スタック枯渇によりパニックを引き起こす可能性があります。
    (CVE-2022-30632)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。影響を受けるバージョンでは、データソースで Forward OAuth Identity 機能が有効になっている場合、API トークン (他のユーザー認証情報なし)でそのデータソースに対してクエリを送信すると、最後にログインしたユーザーの OAuth Identity が転送されます。
    これにより、API トークン保有者は、意図されたアクセス権がないデータを取得する可能性があります。この攻撃は、Forward OAuth Identity 機能をサポートするデータソースを持つ Grafana インスタンス、Forward OAuth Identity 機能がオンに切り替えられたデータソースを持つ Grafana インスタンス、OAuth が有効な Grafana インスタンス、および使用可能な API キーを持つ Grafana インスタンスに依存しています。この問題には、バージョン 7.5.13および 8.3.4でパッチが適用されています。(CVE-2022-21673)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。影響を受けるバージョンでは、攻撃者が Grafana データソースまたはプラグインプロキシを通じて HTML コンテンツを提供し、特別に細工されたリンクを使用してユーザーを騙してこの HTML ページにアクセスさせ、クロスサイトスクリプティング (XSS)攻撃を実行する可能性があります。攻撃者は、特定の Grafana インスタンスの既存のデータソースを侵害するか、独自のパブリックサービスを設定し、誰かに Grafana インスタンスで設定するように命令する可能性があります。影響を受けるのは、以下のすべてが該当する場合です。データソースプロキシ: Access Mode および URL としてサーバーで構成された Grafana HTTP ベースデータソース。攻撃者は、上記のデータソースの URL を提供する HTTP サーバーを制御している必要があり、攻撃者が制御しているデータソースをポイントする特別に細工されたリンクをクリックする必要があります。プラグインプロキシの場合: URL で構成され、有効化されている Grafana HTTP ベースのアプリプラグイン。攻撃者は、上記のアプリの URL を提供する HTTP サーバーを制御している必要があり、攻撃者が制御するプラグインをポイントする特別に細工されたリンクは、認証されたユーザーによってクロックオンされる必要があります。バックエンドプラグインリソースの場合: 攻撃者は、細工されたリンクを通じて、認証されたユーザーを侵害されたプラグインに誘導できる必要があります。ユーザーは、パッチを適用したバージョンに更新することが推奨されています。この脆弱性に対する既知の回避策はありません。(CVE-2022-21702)

  - Go 1.17.12および Go 1.18.4より前の io/fs における Glob の制御されない再帰により、攻撃者が、多数のパスセパレーターを含むパスを介して、スタック枯渇によりパニックを引き起こす可能性があります。
    (CVE-2022-30630)

  -Go 1.17.12および Go 1.18.4より前の go/parser の Parse 関数における制御されない再帰により、攻撃者が、深くネストされた型または宣言を介して、スタック枯渇によりパニックを引き起こす可能性があります。(CVE-2022-1962)

  - Go 1.17.12および Go 1.18.4の前の compress/gzip の Reader.Read における制御されない再帰により、攻撃者が、多数の連結された長さゼロの圧縮ファイルを含むアーカイブを介して、スタック枯渇によりパニックを引き起こす可能性があります。(CVE-2022-30631)

  - 6.0.0より前の @braintree/sanitize-url パッケージは、sanitizeUrl 関数での不適切なサニタイズにより、クロスサイトスクリプティング (XSS) に対して脆弱です。(CVE-2021-23648)

  - Go 1.17.12および Go 1.18.4より前に net/http の HTTP/1 クライアントで無効な Transfer-Encoding ヘッダーを受け入れると、ヘッダーを無効として不適切に拒否する中間サーバーと組み合わせた場合に、HTTP リクエストスマグリングが可能になります。(CVE-2022-1705)

  - Go 1.17.12および Go 1.18.4より前の encoding/gob の Decoder.Decode の制御されない再帰により、深くネスト化された構造を含むメッセージを介して、スタック枯渇により攻撃者がパニックを引き起こす可能性があります。
    (CVE-2022-30635)

  - Go 1.17.12および Go 1.18.4の前の encoding/xml の Unmarshal における制御されない再帰により、攻撃者は、「any」フィールドタグを使用するネスト化されたフィールドを持つ Go 構造体に XML ドキュメントをアンマーシャリングすることで、スタック枯渇によりパニックを引き起こす可能性があります。(CVE-2022-30633)

  - 1.17.12より前の Go および 1.18.4より前の 1.18.xの encoding/xml の Decoder.Skip で、深くネスト化された XML ドキュメントを介して、スタック枯渇およびパニックが発生する可能性があります。(CVE-2022-28131)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの CentOS Linux 9 ホストに、grafana-9.0.9-1.el9 ビルド変更ログに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - XSS (CVE-2021-23648)

  - Grafana は、オープンソースのデータ視覚化プラットフォームです。影響を受けるバージョンでは、認証されていないユーザーおよび認証されたユーザーが、リテラルパス (/dashboard/snapshot/:key、または /api/snapshots/:key) にアクセスすることで、最も低いデータベースキーでスナップショットを表示できます。スナップショット public_mode 構成設定が true (デフォルトは false) に設定されている場合、認証されていないユーザーは、リテラルパス (/api/snapshots-delete/:deleteKey) にアクセスすることで、最も低いデータベースキーでスナップショットを削除できます。スナップショット public_mode の設定に関わらず、認証されているユーザーは、リテラルパス (/api/snapshots/:key、または /api/snapshots-delete/:deleteKey) にアクセスすることで、最も低いデータベースキーでスナップショットを削除できます。削除と表示の組み合わせにより、すべてのスナップショットデータを完全にウォークスルーすることができますが、スナップショットデータは完全に失われます。この問題はバージョン8.1.6および7.5.11で解決済みです。何らかの理由でアップグレードできない場合は、リバースプロキシなどを使用して、リテラルパスへのアクセスをブロックできます。
    /api/snapshots/:key、/api/snapshots-delete/:deleteKey、/dashboard/snapshot/:key、/api/snapshots/:key。
    これらには通常の機能がなく、制度エフェクトなしに無効化できます。(CVE-2021-39226)

  - *.md ファイルのディレクトリトラバーサル脆弱性 (CVE-2021-43813)

  - net/http: ヘッダー正規化キャッシュの増加を制限 (CVE-2021-44716)

  - net/http: Transfer-Encoding ヘッダーの不適切なサニタイズ (CVE-2022-1705)

  - go/parser: すべての Parse * 関数におけるスタックの枯渇 (CVE-2022-1962)

  - Forward OAuth Identity Token により、ユーザーは一部のデータソースにアクセスできる場合があります (CVE-2022-21673)

  - client_golang は、Prometheus の Go アプリケーション用のインストルメンテーションライブラリであり、client_golang の promhttp パッケージは、HTTP サーバーおよびクライアントに関連するツールを提供します。バージョン 1.11.1より前の client_golang では、HTTP サーバーは、非標準の HTTP メソッドでリクエストを処理する際に、無制限のカーディナリティによる潜在的なサービス拒否やメモリ枯渇の可能性があります。影響を受けるのは、インストルメント化されたソフトウェアは「RequestsInFlight」を除く「promhttp.InstrumentHandler *」ミドルウェアのいずれかを使用する場合です。
    ミドルウェアの前に特定のメソッド (例:GET) をフィルタリングせず、「method」ラベル名のメトリクスをミドルウェアに渡し、不明な「メソッド」を持つリクエストをフィルタリングする firewall/LB/proxy がありません。
    client_golang バージョン 1.11.1には、この問題のパッチが含まれています。いくつかの回避策が利用可能です。これには、InstrumentHandler で使用されるカウンター/ゲージからの「メソッド」ラベル名の削除が含まれます。影響を受ける promhttp ハンドラーをオフにします。Promhttp ハンドラーの前にカスタムミドルウェアを追加し、Go http.Request によって指定されたリクエストメソッドをサニタイズします。リバースプロキシまたは Web アプリケーションファイヤーウォールを使用し、一部のメソッドのみを許可するように構成されています。(CVE-2022-21698)

  - データソース処理における XSS の脆弱性 (CVE-2022-21702)

  - CSRF の脆弱性により、権限昇格につながる可能性があります (CVE-2022-21703)

  - IDOR の脆弱性により、情報漏洩が発生する可能性があります (CVE-2022-21713)

  - encoding/xml: Decoder.Skip でのスタックの枯渇 (CVE-2022-28131)

  - io/fs: Glob でのスタックの枯渇 (CVE-2022-30630)

  - compress/gzip: Reader.Read のスタックの枯渇 (CVE-2022-30631)

  - path/filepath: Glob でのスタックの枯渇 (CVE-2022-30632)

  - encoding/xml: Unmarshal でのスタックの枯渇 (CVE-2022-30633)

  - encoding/gob: Decoder.Decode でのスタックの枯渇 (CVE-2022-30635)

  - OAuth アカウント乗っ取り (CVE-2022-31107)

  - net/http/httputil: NewSingleHostReverseProxy (CVE-2022-32148)

  - 認証プロキシ使用時の管理者からサーバー管理者への昇格 (rhbz#2125530)(CVE-2022-35957)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
167083	RHEL 8 : grafana (RHSA-2022: 7519)	Nessus	Red Hat Local Security Checks	2022/11/8	2024/4/28	high
167570	RHEL 9: grafana (RHSA-2022: 8057)	Nessus	Red Hat Local Security Checks	2022/11/15	2024/4/28	high
167547	Oracle Linux 8：grafana（ELSA-2022-7519）	Nessus	Oracle Linux Local Security Checks	2022/11/15	2023/10/3	high
162469	SUSE SLES12 セキュリティ更新プログラム: SUSE Manager Client Tools (SUSE-SU-2022:2134-1)	Nessus	SuSE Local Security Checks	2022/6/22	2023/7/13	critical
166603	SUSE SLED15 / SLES15 / openSUSE 15 セキュリティ更新: grafana (SUSE-SU-2022:3765-1)	Nessus	SuSE Local Security Checks	2022/10/27	2024/2/16	high
167149	CentOS 8: grafana (CESA-2022：7519)	Nessus	CentOS Local Security Checks	2022/11/9	2023/10/5	high
170214	openSUSE 15 セキュリティ更新 : SUSE Manager Client Tools (SUSE-SU-2022:1396-1)	Nessus	SuSE Local Security Checks	2023/1/20	2023/2/8	critical
168119	Oracle Linux 9 : grafana (ELSA-2022-8057)	Nessus	Oracle Linux Local Security Checks	2022/11/22	2023/10/2	high
191236	CentOS 9 : grafana-9.0.9-1.el9	Nessus	CentOS Local Security Checks	2024/2/29	2024/4/26	high

検出

プラグインの検索

high

high

high

critical

high

high

critical

high

high