Rocky Linux 9 主机上存在安装的程序包，该程序包受到 CIQ crlsa-2022_8057 公告中提及的多个漏洞的影响。

    * sanitize-url：由于 sanitizeUrl 函数 （CVE-2021-23648） 中未正确清理而导致的 XSS

    * golang：net/http：未正确审查 Transfer-Encoding 标头 （CVE-2022-1705）

    * golang：go/parser：所有 Parse* 函数中的堆栈耗尽 （CVE-2022-1962）

    * grafana：转发 OAuth 身份令牌允许用户访问某些数据源 （CVE-2022-21673）

    * prometheus/client_golang：使用 InstrumentHandlerCounter （CVE-2022-21698） 造成拒绝服务

    * grafana：数据源处理中的 XSS 漏洞 （CVE-2022-21702）

    * grafana：CSRF 漏洞可导致权限升级 （CVE-2022-21703）

    * grafana：IDOR 漏洞可导致信息泄露 （CVE-2022-21713）

    * golang：encoding/xml：Decoder.Skip （CVE-2022-28131） 中的堆栈耗尽

    * golang：io/fs：Glob （CVE-2022-30630） 中的堆栈耗尽

    * golang：compress/gzip：Reader.Read （CVE-2022-30631） 中的堆栈耗尽

    * golang：path/filepath：Glob （CVE-2022-30632） 中的堆栈耗尽

    * golang：encoding/xml：Unmarshal （CVE-2022-30633） 中的堆栈耗尽

    * golang：encoding/gob：Decoder.Decode （CVE-2022-30635） 中的堆栈耗尽

    * golang： net/http/httputil： NewSingleHostReverseProxy - 省略 X-Forwarded-For 无法工作 （CVE-2022-32148）

Tenable 已直接从 CIQ 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Rocky Linux 9 [CIQ] 安全更新：grafana / grafana-debuginfo 多种漏洞（crlsa-2022_8057）

high Nessus 插件 ID 357951

未找到变更日志

检测

Rocky Linux 9 [CIQ] 安全更新：grafana / grafana-debuginfo 多种漏洞 （crlsa-2022_8057）

high Nessus 插件 ID 357951

未找到变更日志

Rocky Linux 9 [CIQ] 安全更新：grafana / grafana-debuginfo 多种漏洞（crlsa-2022_8057）