远程 Rocky Linux 9 主机上存在安装的程序包该程序包受到公告 RLSA-2024:2568 中提及的多个漏洞的影响。

  - 如果与快照所有者处于不同的组织，用户可以使用其视图密钥向 /api/snapshots/<key> 发出 DELETE 请求绕过授权并删除快照。此功能仅适用于有权对相关快照执行写入/编辑操作的个人使用，但由于授权逻辑存在缺陷，与快照所有者不属于同一组织的非特权用户发出的删除请求将被视为已获授权。Grafana Labs 在此感谢 Palo Alto Research 的 Ravid Mazon 和 Jay Chen 发现并披露此漏洞。此问题影响以下版本的 Grafana：9.5.0 至 9.5.18、10.0.0 至 10.0.13、10.1.0 至 10.1.9、10.2.0 至 10.2.6、10.3.0 至 10.3.5。(CVE-2024-1313)

  - 在 RSA 加密/解密代码的 Golang 中发现内存泄露缺陷，使用攻击者控制的输入时，可导致资源耗尽漏洞。在 github.com/golang-fips/openssl/openssl/rsa.go#L113 中发生内存泄漏。对象泄漏为 pkey 和 ctx。如果初始化上下文或设置不同属性时出错，该函数会使用 named 返回参数来释放 pkey 和 ctx。所有与错误情况相关的返回语句均遵循返回 nil、nil、fail(...) 模式，这意味着 pkey 和 ctx 在应释放它们的延迟函数内将为 nil。(CVE-2024-1394)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Rocky Linux 9grafana (RLSA-2024:2568)

medium Nessus 插件 ID 196966

版本 1.1

版本 1.0

版本 1.1 Oct 4, 2024, 11:19 AM IAVM reference Plugin Feed: 202410041119
版本 1.0 May 14, 2024, 11:03 PM New Plugin Feed: 202405142303