The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 host has a package installed that is affected by multiple vulnerabilities as referenced in the SUSE-SU-2023:2917-1 advisory.

  - Grafana is an open-source platform for monitoring and observability. The option to send a test alert is     not available from the user panel UI for users having the Viewer role. It is still possible for a user     with the Viewer role to send a test alert using the API as the API does not check access to this function.
    This might enable malicious users to abuse the functionality by sending multiple alert messages to e-mail     and Slack, spamming users, prepare Phishing attack or block SMTP server. Users may upgrade to version     9.5.3, 9.4.12, 9.3.15, 9.2.19 and 8.5.26 to receive a fix. (CVE-2023-2183)

  - Grafana is an open-source platform for monitoring and observability. Using public dashboards users can     query multiple distinct data sources using mixed queries. However such query has a possibility of crashing     a Grafana instance. The only feature that uses mixed queries at the moment is public dashboards, but it's     also possible to cause this by calling the query API directly. This might enable malicious users to crash     Grafana instances through that endpoint. Users may upgrade to version 9.4.12 and 9.5.3 to receive a fix.
    (CVE-2023-2801)

  - Grafana is validating Azure AD accounts based on the email claim. On Azure AD, the profile email field is     not unique and can be easily modified. This leads to account takeover and authentication bypass when Azure     AD OAuth is configured with a multi-tenant app. (CVE-2023-3128)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2023:2917-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。ビューアーロールを持つユーザーは、ユーザーパネル UI からテストアラートを送信するオプションを利用できません。API はこの関数へのアクセスをチェックしないため、ビューアーロールを持つユーザーは、API を使用してテストアラートを送信できます。
    これにより、悪意のあるユーザーがこの機能を悪用して、複数のアラートメッセージを電子メールと Slack に送信したり、ユーザーにスパムを送信したりして、フィッシング攻撃を準備したり、SMTP サーバーをブロックしたりすることが可能です。ユーザーはバージョン 9.5.3、9.4.12、9.3.15、9.2.19、8.5.26 をアップグレードして、修正を受け取ることができます。(CVE-2023-2183)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。パブリックダッシュボードを使用すると、ユーザーは混合クエリを使用して複数の異なるデータソースをクエリできます。ただし、このようなクエリでは Grfana インスタンスがクラッシュする可能性があります。現時点で混合クエリを使用する唯一の機能はパブリックダッシュボードですが、クエリ API を直接呼び出すことでこれを引き起こすことも可能です。これにより、悪意のあるユーザーがそのエンドポイントを介して Grafana インスタンスをクラッシュさせる可能性があります。ユーザーはバージョン 9.4.12および 9.5.3をアップグレードして、修正を受け取ることができます。
    (CVE-2023-2801)

  - Grafana は、メールのクレームに基づいて Azure AD アカウントを検証しています。Azure AD では、プロファイルのメールフィールドは一意ではなく、簡単に変更できます。これにより、Azure AD OAuth がマルチテナントアプリに設定されている場合、アカウント乗っ取りと認証バイパスが発生します。(CVE-2023-3128)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The version of FreeBSD installed on the remote host is prior to tested version. It is, therefore, affected by a vulnerability as referenced in the 652064ef-056f-11ee-8e16-6c3be5272acd advisory.

  - Grafana is an open-source platform for monitoring and observability. Using public dashboards users can     query multiple distinct data sources using mixed queries. However such query has a possibility of crashing     a Grafana instance. The only feature that uses mixed queries at the moment is public dashboards, but it's     also possible to cause this by calling the query API directly. This might enable malicious users to crash     Grafana instances through that endpoint. Users may upgrade to version 9.4.12 and 9.5.3 to receive a fix.
    (CVE-2023-2801)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote Redhat Enterprise Linux 9 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2023:7740 advisory.

    Red Hat Ceph Storage is a scalable, open, software-defined storage platform that combines the most stable     version of the Ceph storage system with a Ceph management platform, deployment utilities, and support     services.

    These new packages include numerous enhancements, and bug fixes. Space precludes documenting all of these     changes in this advisory. Users are directed to the Red Hat Ceph Storage Release Notes for information on     the most significant of these changes:

    https://access.redhat.com/documentation/en-us/red_hat_ceph_storage/6.1/html/release_notes/index

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Redhat Enterprise Linux 9 host has one or more packages installed that are affected by multiple vulnerabilities that have been acknowledged by the vendor but will not be patched.

  - grafana: session control failure may lead to information disclosure (CVE-2022-32275)

  - protobufjs: prototype pollution using user-controlled protobuf message (CVE-2023-36665)

  - The package protobufjs before 6.11.3 are vulnerable to Prototype Pollution which can allow an attacker to     add/modify properties of the Object.prototype. This vulnerability can occur in multiple ways: 1. by     providing untrusted user input to util.setProperty or to ReflectionObject.setParsedOption functions 2. by     parsing/loading .proto files (CVE-2022-25878)

Note that Nessus has not tested for these issues but has instead relied on the package manager's report that the package is installed.

遠端 Redhat Enterprise Linux 9 主機上安裝的套件受到 RHSA-2023: 7740 公告。

  - Grafana 是一個用於監控和觀察的開放原始碼平台。無法從具有「檢視者」角色的使用者之使用者面板 UI 中使用傳送測試警示的選項。具有檢視者角色的使用者仍可能使用 API 傳送測試警示，因為 API 不會檢查此函式的存取權。
    這可能會讓惡意使用者透過傳送多個警示訊息至電子郵件和 Slack 來濫用功能，藉此向使用者傳送垃圾郵件，準備網路釣魚攻擊或封鎖 SMTP 伺服器。使用者可升級至 9.5.3、9.4.12、9.3.15、9.2.19 和 8.5.26 版以接收修正。(CVE-2023-2183)

  - Grafana 是一個用於監控和觀察的開放原始碼平台。使用公開儀表板的使用者可以使用混合查詢來查詢多個不同的資料來源。不過，此類查詢有可能損毀 Grafana 執行個體。目前使用混合查詢的唯一功能是公開儀表板，但也可能透過直接呼叫查詢 API 來造成此問題。這可能會讓惡意使用者透過該端點損毀 Grafana 執行個體。使用者可升級至 9.4.12 和 9.5.3 版以接收修正。
    (CVE-2023-2801)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 9 主機上安裝的一個或多個套件受到多個弱點影響，廠商已確認不會修補這些弱點。

  - grafana：工作階段控制失敗可能導致資訊洩漏 (CVE-2022-32275)

  - protobufjs：使用使用者控制的 protobuf 訊息的原型污染 (CVE-2023-36665)

  - 6.11.3 之前的套件 protobufjs 容易受到原型污染，這讓可攻擊者新增/修改 Object.prototype 的內容。此弱點可透過多種方式發生：1. 透過向 util.setProperty 或 ReflectionObject.setParsedOption 函式提供不受信任的使用者輸入 2. 透過剖析/載入 .proto 檔案 (CVE-2022-25878)

請注意，Nessus 並未測試這些問題，而是依據套件管理員已安裝套件的報告。

リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、652064ef-056f-11ee-8e16-6c3be5272acdのアドバイザリに記載されている脆弱性の影響を受けます。

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。パブリックダッシュボードを使用すると、ユーザーは混合クエリを使用して複数の異なるデータソースをクエリできます。ただし、このようなクエリでは Grfana インスタンスがクラッシュする可能性があります。現時点で混合クエリを使用する唯一の機能はパブリックダッシュボードですが、クエリ API を直接呼び出すことでこれを引き起こすことも可能です。これにより、悪意のあるユーザーがそのエンドポイントを介して Grafana インスタンスをクラッシュさせる可能性があります。ユーザーはバージョン 9.4.12および 9.5.3をアップグレードして、修正を受け取ることができます。
    (CVE-2023-2801)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Redhat Enterprise Linux 9 ホストにインストールされているパッケージは、RHSA-2023: 7740 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。ビューアーロールを持つユーザーは、ユーザーパネル UI からテストアラートを送信するオプションを利用できません。API はこの関数へのアクセスをチェックしないため、ビューアーロールを持つユーザーは、API を使用してテストアラートを送信できます。
    これにより、悪意のあるユーザーがこの機能を悪用して、複数のアラートメッセージを電子メールと Slack に送信したり、ユーザーにスパムを送信したりして、フィッシング攻撃を準備したり、SMTP サーバーをブロックしたりすることが可能です。ユーザーはバージョン 9.5.3、9.4.12、9.3.15、9.2.19、8.5.26 をアップグレードして、修正を受け取ることができます。(CVE-2023-2183)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。パブリックダッシュボードを使用すると、ユーザーは混合クエリを使用して複数の異なるデータソースをクエリできます。ただし、このようなクエリでは Grfana インスタンスがクラッシュする可能性があります。現時点で混合クエリを使用する唯一の機能はパブリックダッシュボードですが、クエリ API を直接呼び出すことでこれを引き起こすことも可能です。これにより、悪意のあるユーザーがそのエンドポイントを介して Grafana インスタンスをクラッシュさせる可能性があります。ユーザーはバージョン 9.4.12および 9.5.3をアップグレードして、修正を受け取ることができます。
    (CVE-2023-2801)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Redhat Enterprise Linux 9 ホストには、1 つ以上のパッケージがインストールされており、これらのパッケージは複数の脆弱性の影響を受けます。これらの脆弱性はベンダーによって認識されていますが、パッチが適用されません。

  - grafana: セッションコントロールの失敗により、情報漏洩が発生する可能性があります (CVE-2022-32275)

  - protobufjs: ユーザー制御の protobuf メッセージを使用したプロトタイプ汚染 (CVE-2023-36665)

  - 6.11.3 より前の protobufjs パッケージは、プロトタイプ汚染に対して脆弱です。これにより、攻撃者が、Object.prototype のプロパティを追加/変更する可能性があります。この脆弱性は、複数の方法で発生する可能性があります。1. util.setProperty または ReflectionObject.setParsedOption 関数に信頼できないユーザー入力を提供する場合。2. .proto ファイルを解析/ロードする場合。(CVE-2022-25878)

注意: Nessus はこれらの問題をテストしておらず、代わりにパッケージがインストールされているというパッケージマネージャーのレポートに依存しています。

远程 Redhat Enterprise Linux 9 主机上安装的程序包受到 RHSA-2023: 7740 公告。

  - Grafana 是用于监控和观察的开源平台。对于具有查看者角色的用户，用户面板 UI 中无法使用发送测试警报的选项。具有查看者角色的用户仍然可以使用 API 发送测试警报，因为 API 不会检查对此功能的访问。
    这可能会使恶意用户通过向电子邮件和 Slack 发送多条警报消息、向用户发送垃圾邮件、准备网络钓鱼攻击或阻止 SMTP 服务器来滥用该功能。用户可将版本升级到 9.5.3、9.4.12、9.3.15、9.2.19 和 8.5.26 以接收修复程序。(CVE-2023-2183)

  - Grafana 是用于监控和观察的开源平台。使用公共仪表板，用户可以使用混合查询来查询多个不同的数据源。然而，这样的查询有可能导致 Grafana 实例崩溃。目前唯一使用混合查询的功能是公共仪表板，但直接调用查询 API 也可能导致这种情况。这可能会使恶意用户通过该端点使 Grafana 实例崩溃。用户可将版本升级到 9.4.12 和 9.5.3 以接收修复程序。
    (CVE-2023-2801)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 9 主机上安装的一个或多个程序包受到供应商已确认但并未提供补丁的多个漏洞影响。

  - grafana：会话控制失败可导致信息泄露 (CVE-2022-32275)

  - protobufjs：使用用户控制的 protobuf 消息的原型污染 (CVE-2023-36665)

  - 6.11.3 之前的程序包 protobufjs 容易受到原型污染的影响，这可允许攻击者添加/修改 Object.prototype 的属性。此漏洞会以多种方式发生：1. 向 util.setProperty 或 ReflectionObject.setParsedOption 函数提供不受信任的用户输入 2. 解析/加载 .proto 文件 (CVE-2022-25878)

请注意，Nessus 并未测试这些问题，而是依赖于程序包管理器报告是否已安装程序包。

ID	Name	Product	Family	Published	Updated	Severity
178694	SUSE SLED15 / SLES15 / openSUSE 15 Security Update : SUSE Manager Client Tools (SUSE-SU-2023:2917-1)	Nessus	SuSE Local Security Checks	7/21/2023	11/2/2023	critical
178694	SUSE SLED15/ SLES15/ openSUSE 15 セキュリティ更新: SUSE Manager Client Tools (SUSE-SU-2023:2917-1)	Nessus	SuSE Local Security Checks	7/21/2023	11/2/2023	critical
176942	FreeBSD : Grafana -- Grafana DS proxy race condition (652064ef-056f-11ee-8e16-6c3be5272acd)	Nessus	FreeBSD Local Security Checks	6/8/2023	6/14/2023	medium
186760	RHEL 9 : Red Hat Ceph Storage 6.1 (RHSA-2023:7740)	Nessus	Red Hat Local Security Checks	12/12/2023	11/7/2024	medium
199090	RHEL 9 : grafana (Unpatched Vulnerability)	Nessus	Red Hat Local Security Checks	6/3/2024	10/24/2024	critical
186760	RHEL 9：Red Hat Ceph Storage 6.1 (RHSA-2023: 7740)	Nessus	Red Hat Local Security Checks	12/12/2023	11/7/2024	medium
199090	RHEL 9：grafana (未修補的弱點)	Nessus	Red Hat Local Security Checks	6/3/2024	10/24/2024	critical
176942	FreeBSD : Grafana -- Grafana DS プロキシの競合状態 (652064ef-056f-11ee-8e16-6c3be5272acd)	Nessus	FreeBSD Local Security Checks	6/8/2023	6/14/2023	medium
186760	RHEL 9: Red Hat Ceph Storage 6.1 (RHSA-2023: 7740)	Nessus	Red Hat Local Security Checks	12/12/2023	11/7/2024	medium
199090	RHEL 9: grafana (パッチ未適用の脆弱性)	Nessus	Red Hat Local Security Checks	6/3/2024	10/24/2024	critical
186760	RHEL 9：Red Hat Ceph Storage 6.1 (RHSA-2023: 7740)	Nessus	Red Hat Local Security Checks	12/12/2023	11/7/2024	medium
199090	RHEL 9：grafana（未修补的漏洞）	Nessus	Red Hat Local Security Checks	6/3/2024	10/24/2024	critical

Detections

Analytics

Plugins Search

critical

critical

medium

medium

critical

medium

critical

medium

medium

critical

medium

critical