There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - All versions of package trim are vulnerable to Regular Expression Denial of Service (ReDoS) via trim().
    (CVE-2020-7753)

远程主机上安装的 Splunk 版本低于测试版本。因此，该应用程序受到 SVD-2023-0613 公告中提及的一个漏洞影响。

  - 在 Node.js 0.8.3 之前的 xmldom（以 @xmldom/xmldom 发布）程序包中 dom.js 中，函数副本通过 p 变量存在原型污染漏洞。注意：供应商表示我们正在将此报告标记为无效；但是，一些第三方认为，原型注入/原型污染不仅会在全局对象受到递归合并或深度克隆的污染时发生，而且还会在目标对象受到污染时发生。(CVE-2022-37616)

  - 低于 7.84.0 版的 curl 将 cookie、alt-svc 和 hsts 数据保存到本地文件时，会通过将临时名称重命名为最终目标文件名称来完成操作，从而使该操作成为原子型操作。在该重命名操作中，它可能会意外*放宽*对目标文件的权限，使更多用户可访问更新后的文件。(CVE-2022-32207)

  - 在低于 2.10.3 版的 libxml2 中发现一个问题。在启用 XML_PARSE_HUGE 解析器选项的情况下解析多 GB 的 XML 文档时，多个整数计数器可能溢出。这会导致尝试以负 2GB 偏移量访问数组，通常会引起分段错误。(CVE-2022-40303)

  - 在低于 2.10.3 版的 libxml2 中发现一个问题。某些无效的 XML 实体定义可损坏哈希表密钥，从而可能导致后续出现逻辑错误。在一种情况下，可能会引发双重释放。(CVE-2022-40304)

  - 存在一个与 X.509 GeneralName 内的 X.400 地址处理相关的类型混淆漏洞。
    X.400 地址被解析为 ASN1_STRING，但 GENERAL_NAME 的公共结构定义错误地将 x400Address 字段的类型指定为 ASN1_TYPE。随后，按照 OpenSSL 函数 GENERAL_NAME_cmp 的解读，此字段应为 ASN1_TYPE 而不是 ASN1_STRING。CRL 检查启用（即应用程序设置 X509_V_FLAG_CRL_CHECK 标记）后，攻击者利用此漏洞可向 memcmp 调用传递任意指针，让指针能够读取内存内容或引起拒绝服务。在大多数情况下，攻击者需要同时提供证书链和 CRL 才能发起攻击，而这两者都不需要具有有效的签名。如果攻击者仅控制其中一个输入，则另一个输入必须已包含作为 CRL 分发点的 X.400 地址，但这种情况并不常见。因此，此漏洞最有可能只影响本身已实现通过网络检索 CRL 功能的应用程序。(CVE-2023-0286)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

遠端主機上安裝的 Splunk 版本低於測試版本。因此，它會受到 SVD-2023-0613 公告中提及的一個弱點影響。

  - 在 Node.js 的 xmldom (發佈為 @xmldom/xmldom) 套件 0.8.3 之前版本中，透過 p 變數可在 dom.js 的 copy 函式中產生原型污染弱點。注意：廠商表示我們正在將此報告標記為無效，但是某些第三方認為原型插入/原型污染不僅在全域物件受到遞回合併或深度複製污染時發生，也在目標物件受到污染時發生。(CVE-2022-37616)

  - curl 7.84.0 之前版本將 cookie、alt-svc 和 hsts 資料儲存到本機檔案時，會透過將暫存名稱重新命名為最終目標檔案名稱來完成作業，從而使此作業成爲原子型作業。在此重新命名作業中，它可能會意外*放寬*針對目標檔案的權限，讓更多使用者可存取更新後的檔案。(CVE-2022-32207)

  - 在 2.10.3 之前的 libxml2 中發現一個問題。在啟用 XML_PARSE_HUGE 剖析器選項的情況下剖析數個 GB 的 XML 文件時，數個整數計數器可能溢位。這會導致程式嘗試以負的 2GB 位移存取陣列，這通常會導致區段錯誤。(CVE-2022-40303)

  - 在 2.10.3 之前的 libxml2 中發現一個問題。某些無效的 XML 實體定義可損毀雜湊表金鑰，這可能導致後續發生邏輯錯誤。在一種情況下，可能會引發雙重釋放。(CVE-2022-40304)

  - X.509 GeneralName 中有一個與 X.400 位址處理相關的類型混淆弱點。
    X.400 位址被剖析為 ASN1_STRING，但 GENERAL_NAME 的公開結構定義錯誤地將 x400Address 欄位的類型指定為 ASN1_TYPE。此欄位隨後會被 OpenSSL 函式 GENERAL_NAME_cmp 解譯為 ASN1_TYPE，而非 ASN1_STRING。啟用 CRL 檢查時 (即應用程式設定 X509_V_FLAG_CRL_CHECK 旗標)，此弱點可能允許攻擊者向 memcmp 呼叫傳遞任意指標，使其能夠讀取記憶體內容或發動拒絕服務攻擊。在大多數情況下，攻擊者需要同時提供憑證鍊和 CRL，兩者都不需要有效的簽章。如果攻擊者只控制其中一個輸入，則另一個輸入必須已包含 X.400 位址作為 CRL 發佈點，此情況並不常見。因此，此弱點最有可能只影響已實作透過網路擷取 CRL 這一功能的應用程式。(CVE-2023-0286)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

リモートホストにインストールされている Splunk のバージョンは、テスト済みバージョンより前です。したがって、SVD-2023-0613 のアドバイザリに記載されている脆弱性の影響を受けます。

  - p 変数を介した Node.js の 0.8.3より前の xmldom (@xmldom/xmldom として公開済み) パッケージの dom.js の関数 copy にプロトタイプ汚染の脆弱性が存在します。注意: ベンダーは、弊社がこのレポートを無効とする手続きを行っていると述べています。ただし、一部のサードパーティは、プロトタイプインジェクション/プロトタイプの汚染は、グローバルオブジェクトが再帰マージまたはディープクローンで汚染されるだけでなく、ターゲットオブジェクトが汚染される場合もあると考えています。(CVE-2022-37616)

  - curl < 7.84.0が Cookie、alt-svc、hsts のデータをローカルファイルに保存するとき、一時的な名前から最終的なターゲットファイル名への名前変更で操作をファイナライゼーションすることで、操作をアトミックにします。この名前変更操作で、偶発的に、ターゲットファイルの権限を *拡大* し、意図したよりも多くのユーザーが更新済みファイルにアクセスできるようになる可能性があります。(CVE-2022-32207)

  - 2.10.3より前の libxml2 で問題が発見されました。XML_PARSE_HUGE パーサーオプションを有効にしてマルチギガバイトの XML ドキュメントを解析すると、いくつかの整数カウンターがオーバーフローする可能性があります。これにより、負の 2GB オフセットで配列へのアクセスが試行され、通常はセグメンテーション違反が発生します。(CVE-2022-40303)

  - 2.10.3より前の libxml2 で問題が発見されました。特定の無効な XML エンティティ定義により、ハッシュテーブルキーが破損し、後続のロジックエラーが発生する可能性があります。ある場合では、二重解放が引き起こされる可能性があります。(CVE-2022-40304) 

  - X.509 GeneralName 内の X.400 アドレス処理に関連する型の取り違えの脆弱性があります。
    X.400 アドレスは ASN1_STRING として解析されていましたが、GENERAL_NAME のパブリック構造体の定義で x400Address フィールドのタイプが ASN1_TYPE として不適切に指定されていました。このフィールドは、その後、OpenSSL 関数 GENERAL_NAME_cmp によって、ASN1_STRING ではなく ASN1_TYPE として解釈されます。CRL チェックが有効な場合 (アプリケーションが X509_V_FLAG_CRL_CHECK フラグを設定するなど)、この脆弱性により、攻撃者が任意のポインターを memcmp 呼び出しに渡し、メモリの内容を読み取ったり、サービス拒否を引き起こしたりする可能性があります。ほとんどの場合、攻撃者は証明書チェーンと CRL の両方を提供する必要があります。どちらも有効な署名を必要としません。攻撃者がこれらの入力の 1 つのみをコントロールする場合、他の入力には CRL 配布ポイントとして X.400 アドレスがすでに含められている必要がありますが、これはよくあることではありません。このため、この脆弱性の影響を受ける可能性が最も高いのは、ネットワークを介して CRL を取得するための独自の機能を実装しているアプリケーションのみです。(CVE-2023-0286)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2023:2578-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - trim パッケージのすべてのバージョンは、trim() を介する正規表現のサービス拒否 (ReDoS) に対して脆弱です。
    (CVE-2020-7753)

  - ansi-regex は非効率的な正規表現の複雑性に対して脆弱です (CVE-2021-3807)

  - json-schema は、オブジェクトプロトタイプ属性の不適切に制御された変更 (「プロトタイプ汚染」) に対して脆弱です (CVE-2021-3918)

  - 2.6.4 および 3.2.2 より前の 3.x の Async では、悪意のあるユーザーが mapValues() メソッド、別名 lib/internal/iterator.js createObjectIterator プロトタイプ汚染を介して権限を取得する可能性があります。(CVE-2021-43138)

  - follow-redirects には、個人情報が権限のないアクターに漏洩する脆弱性があります (CVE-2022-0155)

  - 1.18.6より前の Go および 1.19.1より前の 1.19.xの net/http では、シャットダウンが致命的なエラーによりプリエンプトされた場合、HTTP/2 接続が終了中にハングアップする可能性があるため、攻撃者がサービス拒否を引き起こす可能性があります。(CVE-2022-27664)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。9.0.3、8.5.9、8.4.10、および 8.3.10より前の 8.xおよび 9.xブランチのバージョンは、Grafana の統合アラート機能を介して、保存されているクロスサイトスクリプティングに対して脆弱です。攻撃者がこの脆弱性を悪用し、認証された管理者を騙してリンクをクリックさせることで、権限を編集者から管理者に昇格させる可能性があります。バージョン 9.0.3、8.5.9、8.4.10、8.3.10 にはパッチが含まれています。回避策として、アラートを無効にするか、レガシーアラートを使用することができます。
    (CVE-2022-31097)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。9.0.3、8.5.9、8.4.10、8.3.10 までのバージョン 5.3では、認証されている悪意のあるユーザーが、ログイン名を提供する構成済みの OAuth IdP を介して Grafana インスタンスにログインし、その Grafana インスタンスの別のユーザーのアカウントを乗っ取る可能性があります。悪意のあるユーザーが OAuth 経由で Grafana へのログインを承認され、悪意のあるユーザーの外部ユーザー ID が Grafana のアカウントに関連付けられておらず、悪意のあるユーザーのメールアドレスがGrafanaのアカウントに関連付けられておらず、悪意のあるユーザーがターゲットユーザーの Grafana ユーザー名を知っている場合に、これが発生する可能性があります。これらの条件が満たされた場合、悪意のあるユーザーが OAuth プロバイダーのユーザー名をターゲットユーザーのユーザー名に設定し、OAuth フローを通過して Grafana にログインする可能性があります。上記の条件がすべて満たされている場合、ログイン中に外部ユーザーアカウントと内部ユーザーアカウントがリンクされる方法が原因で、悪意のあるユーザーがターゲットユーザーの Grafana アカウントにログインする可能性があります。バージョン 9.0.3、8.5.9、8.4.10、8.3.10 には、この問題に対するパッチが含まれています。回避策として、関係するユーザーは Grafana インスタンスへの OAuth ログインを無効にするか、OAuth 経由でログインする権限があるすべてのユーザーに、対応する Grafana のユーザーアカウントをメールアドレスにリンクさせることができます。
    (CVE-2022-31107)

  - 攻撃者が Accept-Language ヘッダーを細工することでサービス拒否を引き起こし、ParseAcceptLanguage の解析にかなりの時間がかかる可能性があります。(CVE-2022-32149)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。9.1.6 および 8.5.13より前のバージョンは、認証プロキシが使用されている場合、管理者からサーバー管理者への昇格に対して脆弱です。これにより、管理者がサーバー管理者アカウントを乗っ取り、grafana インスタンスを完全にコントロールできるようになります。すべてのインストールは、できるだけ早くアップグレードする必要があります。回避策として、次の URL の指示に従って auth プロキシを非アクティブ化してください。
    https://grafana.com/docs/grafana/latest/setup-grafana/configure-security/configure-authentication/auth-proxy/ (CVE-2022-35957)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。8.5.13、9.0.9、および 9.1.6より前のバージョンでは、Grafana が権限の不適切な保存の影響を受け、一部のフォルダで権限昇格が発生し、Admin のみが使用する権限を取得します。この脆弱性は、RBAC を無効化し、その後に有効化した Grafana インスタンスに影響を与えます。というのも、従来のフォルダ権限を RBAC の権限に変換する移行では、フォルダ内の唯一のユーザー権限が Admin であるシナリオが考慮されていないからです。その結果、RBAC は Editor と Viewer に対して、フォルダの編集と閲覧を可能にする権限を追加します。この問題には、バージョン 8.5.13、9.0.9 および 9.1.6でパッチが適用されています。影響を受けるフォルダ/ダッシュボードが判明している場合の回避策は、追加の権限を手動で削除することです。
    (CVE-2022-36062)

  - 信頼できないソースから正規表現をコンパイルするプログラムは、メモリ枯渇またはサービス拒否に脆弱な場合があります。解析された正規表現は入力サイズに線形ですが、場合によっては定数係数が 40,000 にもなり、比較的小さな正規表現がはるかに多くのメモリを消費します。修正後に解析される各正規表現は 256 MB のメモリフットプリントに制限されます。表現がそれより多くのスペースを使用する正規表現は、拒否されます。正規表現の通常の使用は影響を受けません。(CVE-2022-41715)

  - Prometheus Exporter Toolkit は、エクスポーターを構築するためのユーティリティパッケージです。0.7.2 および 0.8.2より前のバージョンでは、Prometheus web.yml ファイルおよびユーザーの暗号化されたパスワードにアクセスできるユーザーは、ビルトイン認証キャッシュをポイズニングすることでセキュリティをバイパスする可能性があります。バージョン 0.7.2と 0.8.2には、この問題の修正が含まれています。回避策はありませんが、攻撃者がこの機能を使用するには、ハッシュ化されたパスワードにアクセスできる必要があります。
    (CVE-2022-46146)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。9.1 ブランチから開始して、Grafana は URL クエリパラメーター auth_token で JWT を検索し、それを認証トークンとして使用する機能を導入しました。url_login 構成オプションを有効にすることで (デフォルトでは無効)、JWT がデータソースに送信される可能性があります。攻撃者がデータソースへのアクセス権を持っている場合、漏洩したトークンを使用して Grafana に認証される可能性があります。(CVE-2023-1387)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。Grafana の Graphite FunctionDescription ツールチップに、蓄積型 XSS の脆弱性がありました。関数の説明の値が適切にサニタイズされなかったため、蓄積型 XSS の脆弱性の可能性がありました。機能の説明を操作するために、攻撃者は Graphite データソースを制御できる必要があり、Grafana 管理者はデータソースを構成する必要があります。後で Grafana ユーザーは改ざんされた関数を選択し、説明にカーソルを合わせる必要があります。ユーザーは、バージョン 8.5.22、9.2.15、または 9.3.11にアップグレードして修正を受け取ることができます。(CVE-2023-1410)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES15/ openSUSE 15 ホストには、SUSE-SU-2024:0487-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - trim パッケージのすべてのバージョンは、trim() を介する正規表現のサービス拒否 (ReDoS) に対して脆弱です。
    (CVE-2020-7753)

  - ansi-regex は非効率的な正規表現の複雑性に対して脆弱です (CVE-2021-3807)

  - json-schema は、オブジェクトプロトタイプ属性の不適切に制御された変更 (「プロトタイプ汚染」) に対して脆弱です (CVE-2021-3918)

  - 2.6.4 および 3.2.2 より前の 3.x の Async では、悪意のあるユーザーが mapValues() メソッド、別名 lib/internal/iterator.js createObjectIterator プロトタイプ汚染を介して権限を取得する可能性があります。(CVE-2021-43138)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。Grafana バージョン 8.0.0-beta1 から 8.3.0(パッチを適用したバージョンは除く) は、ディレクトリトラバーサルに対して脆弱であり、ローカルファイルへのアクセスを許可します。
    脆弱な URL パスは次のとおりです。「<grafana_host_url>/public/plugins//」はインストールされているプラグインのプラグイン ID です。Grafana Cloud が脆弱になったことは一度もありません。ユーザーはパッチを適用したバージョン 8.0.7、8.1.8、8.2.7、または 8.3.1にアップグレードすることが勧められています。GitHub セキュリティアドバイザリには、脆弱な URL パス、緩和策、および漏洩のタイムラインに関する詳細情報が含まれています。(CVE-2021-43798)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。バージョン 8.3.2および 7.5.12より前の Grafana には、任意の .csv ファイルに対するディレクトリトラバーサルがあります。これは、TestData DB データソースと呼ばれる開発者用テストツールが有効化され、構成されているインスタンスにのみ影響します。この脆弱性は範囲が限定されており、認証されたユーザーのみが、拡張子が .csv のファイルにアクセスできます。Grafana Cloud インスタンスはこの脆弱性の影響を受けていません。バージョン 8.3.2および 7.5.12には、この問題に対するパッチが含まれています。アップグレードできないユーザーが利用できる回避策があります。リクエストの PATH を正規化する Grafana の前でリバースプロキシを実行すると、この脆弱性が緩和されます。プロキシは、URL エンコードされたパスも処理できる必要があります。(CVE-2021-43815)

  - follow-redirects には、個人情報が権限のないアクターに漏洩する脆弱性があります (CVE-2022-0155)

  - 信頼できないソースから正規表現をコンパイルするプログラムは、メモリ枯渇またはサービス拒否に脆弱な場合があります。解析された正規表現は入力サイズに線形ですが、場合によっては定数係数が 40,000 にもなり、比較的小さな正規表現がはるかに多くのメモリを消費します。修正後に解析される各正規表現は 256 MB のメモリフットプリントに制限されます。表現がそれより多くのスペースを使用する正規表現は、拒否されます。正規表現の通常の使用は影響を受けません。(CVE-2022-41715)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2023:2575-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - trim パッケージのすべてのバージョンは、trim() を介する正規表現のサービス拒否 (ReDoS) に対して脆弱です。
    (CVE-2020-7753)

  - ansi-regex は非効率的な正規表現の複雑性に対して脆弱です (CVE-2021-3807)

  - json-schema は、オブジェクトプロトタイプ属性の不適切に制御された変更 (「プロトタイプ汚染」) に対して脆弱です (CVE-2021-3918)

  - 2.6.4 および 3.2.2 より前の 3.x の Async では、悪意のあるユーザーが mapValues() メソッド、別名 lib/internal/iterator.js createObjectIterator プロトタイプ汚染を介して権限を取得する可能性があります。(CVE-2021-43138)

  - follow-redirects には、個人情報が権限のないアクターに漏洩する脆弱性があります (CVE-2022-0155)

  - 1.18.6より前の Go および 1.19.1より前の 1.19.xの net/http では、シャットダウンが致命的なエラーによりプリエンプトされた場合、HTTP/2 接続が終了中にハングアップする可能性があるため、攻撃者がサービス拒否を引き起こす可能性があります。(CVE-2022-27664)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。9.0.3、8.5.9、8.4.10、および 8.3.10より前の 8.xおよび 9.xブランチのバージョンは、Grafana の統合アラート機能を介して、保存されているクロスサイトスクリプティングに対して脆弱です。攻撃者がこの脆弱性を悪用し、認証された管理者を騙してリンクをクリックさせることで、権限を編集者から管理者に昇格させる可能性があります。バージョン 9.0.3、8.5.9、8.4.10、8.3.10 にはパッチが含まれています。回避策として、アラートを無効にするか、レガシーアラートを使用することができます。
    (CVE-2022-31097)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。9.0.3、8.5.9、8.4.10、8.3.10 までのバージョン 5.3では、認証されている悪意のあるユーザーが、ログイン名を提供する構成済みの OAuth IdP を介して Grafana インスタンスにログインし、その Grafana インスタンスの別のユーザーのアカウントを乗っ取る可能性があります。悪意のあるユーザーが OAuth 経由で Grafana へのログインを承認され、悪意のあるユーザーの外部ユーザー ID が Grafana のアカウントに関連付けられておらず、悪意のあるユーザーのメールアドレスがGrafanaのアカウントに関連付けられておらず、悪意のあるユーザーがターゲットユーザーの Grafana ユーザー名を知っている場合に、これが発生する可能性があります。これらの条件が満たされた場合、悪意のあるユーザーが OAuth プロバイダーのユーザー名をターゲットユーザーのユーザー名に設定し、OAuth フローを通過して Grafana にログインする可能性があります。上記の条件がすべて満たされている場合、ログイン中に外部ユーザーアカウントと内部ユーザーアカウントがリンクされる方法が原因で、悪意のあるユーザーがターゲットユーザーの Grafana アカウントにログインする可能性があります。バージョン 9.0.3、8.5.9、8.4.10、8.3.10 には、この問題に対するパッチが含まれています。回避策として、関係するユーザーは Grafana インスタンスへの OAuth ログインを無効にするか、OAuth 経由でログインする権限があるすべてのユーザーに、対応する Grafana のユーザーアカウントをメールアドレスにリンクさせることができます。
    (CVE-2022-31107)

  - 攻撃者が Accept-Language ヘッダーを細工することでサービス拒否を引き起こし、ParseAcceptLanguage の解析にかなりの時間がかかる可能性があります。(CVE-2022-32149)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。9.1.6 および 8.5.13より前のバージョンは、認証プロキシが使用されている場合、管理者からサーバー管理者への昇格に対して脆弱です。これにより、管理者がサーバー管理者アカウントを乗っ取り、grafana インスタンスを完全にコントロールできるようになります。すべてのインストールは、できるだけ早くアップグレードする必要があります。回避策として、次の URL の指示に従って auth プロキシを非アクティブ化してください。
    https://grafana.com/docs/grafana/latest/setup-grafana/configure-security/configure-authentication/auth-proxy/ (CVE-2022-35957)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。8.5.13、9.0.9、および 9.1.6より前のバージョンでは、Grafana が権限の不適切な保存の影響を受け、一部のフォルダで権限昇格が発生し、Admin のみが使用する権限を取得します。この脆弱性は、RBAC を無効化し、その後に有効化した Grafana インスタンスに影響を与えます。というのも、従来のフォルダ権限を RBAC の権限に変換する移行では、フォルダ内の唯一のユーザー権限が Admin であるシナリオが考慮されていないからです。その結果、RBAC は Editor と Viewer に対して、フォルダの編集と閲覧を可能にする権限を追加します。この問題には、バージョン 8.5.13、9.0.9 および 9.1.6でパッチが適用されています。影響を受けるフォルダ/ダッシュボードが判明している場合の回避策は、追加の権限を手動で削除することです。
    (CVE-2022-36062)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。9.1 ブランチから開始して、Grafana は URL クエリパラメーター auth_token で JWT を検索し、それを認証トークンとして使用する機能を導入しました。url_login 構成オプションを有効にすることで (デフォルトでは無効)、JWT がデータソースに送信される可能性があります。攻撃者がデータソースへのアクセス権を持っている場合、漏洩したトークンを使用して Grafana に認証される可能性があります。(CVE-2023-1387)

  - Grafana は、監視および可観測性のためのオープンソースプラットフォームです。Grafana の Graphite FunctionDescription ツールチップに、蓄積型 XSS の脆弱性がありました。関数の説明の値が適切にサニタイズされなかったため、蓄積型 XSS の脆弱性の可能性がありました。機能の説明を操作するために、攻撃者は Graphite データソースを制御できる必要があり、Grafana 管理者はデータソースを構成する必要があります。後で Grafana ユーザーは改ざんされた関数を選択し、説明にカーソルを合わせる必要があります。ユーザーは、バージョン 8.5.22、9.2.15、または 9.3.11にアップグレードして修正を受け取ることができます。(CVE-2023-1410)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote SUSE Linux SLES15 / openSUSE 15 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2024:0487-1 advisory.

    golang-github-lusitaniae-apache_exporter:

    - Do not strip if SUSE Linux Enterprise 15 SP3
    - Exclude debug for Red Hat Enterprise Linux >= 8
    - Build with Go >= 1.20 when the OS is not Red Hat Enterprise Linux

    mgr-daemon:

    - Version 4.3.8-1
      * Update translation strings

    prometheus-postgres_exporter:

    - Remove duplicated call to systemd requirements
    - Do not build debug if Red Hat Enterprise Linux >= 8
    - Do not strip if SUSE Linux Enterprise 15 SP3
    - Build at least with with Go >= 1.18 on Red Hat Enterprise Linux
    - Build with Go >= 1.20 elsewhere

    spacecmd:

    - Version 4.3.26-1
      * Update translation strings

    spacewalk-client-tools:

    - Version 4.3.18-1
      * Update translation strings

    uyuni-proxy-systemd-services:

    - Version 4.3.10-1
      * Update the image version
    - Version 4.3.9-1
      * Integrate the containerized proxy into the usual rel-eng workflow

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The version of Splunk installed on the remote host is prior to tested version. It is, therefore, affected by a vulnerability as referenced in the SVD-2023-0613 advisory.

  - A prototype pollution vulnerability exists in the function copy in dom.js in the xmldom (published as     @xmldom/xmldom) package before 0.8.3 for Node.js via the p variable. NOTE: the vendor states we are in     the process of marking this report as invalid; however, some third parties takes the position that A     prototype injection/Prototype pollution is not just when global objects are polluted with recursive merge     or deep cloning but also when a target object is polluted. (CVE-2022-37616)

  - When curl < 7.84.0 saves cookies, alt-svc and hsts data to local files, it makes the operation atomic by     finalizing the operation with a rename from a temporary name to the final target file name.In that rename     operation, it might accidentally *widen* the permissions for the target file, leaving the updated file     accessible to more users than intended. (CVE-2022-32207)

  - An issue was discovered in libxml2 before 2.10.3. When parsing a multi-gigabyte XML document with the     XML_PARSE_HUGE parser option enabled, several integer counters can overflow. This results in an attempt to     access an array at a negative 2GB offset, typically leading to a segmentation fault. (CVE-2022-40303)

  - An issue was discovered in libxml2 before 2.10.3. Certain invalid XML entity definitions can corrupt a     hash table key, potentially leading to subsequent logic errors. In one case, a double-free can be     provoked. (CVE-2022-40304)

  - There is a type confusion vulnerability relating to X.400 address processing inside an X.509 GeneralName.
    X.400 addresses were parsed as an ASN1_STRING but the public structure definition for GENERAL_NAME     incorrectly specified the type of the x400Address field as ASN1_TYPE. This field is subsequently     interpreted by the OpenSSL function GENERAL_NAME_cmp as an ASN1_TYPE rather than an ASN1_STRING. When CRL     checking is enabled (i.e. the application sets the X509_V_FLAG_CRL_CHECK flag), this vulnerability may     allow an attacker to pass arbitrary pointers to a memcmp call, enabling them to read memory contents or     enact a denial of service. In most cases, the attack requires the attacker to provide both the certificate     chain and CRL, neither of which need to have a valid signature. If the attacker only controls one of these     inputs, the other input must already contain an X.400 address as a CRL distribution point, which is     uncommon. As such, this vulnerability is most likely to only affect applications which have implemented     their own functionality for retrieving CRLs over a network. (CVE-2023-0286)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLES15 / SLES_SAP15 / openSUSE 15 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2023:2578-1 advisory.

    bind:

    - Provide bind dependencies and solve installation issues on SUSE Linux Enterprise Micro
    - There are no source changes

    dracut-saltboot:

    - Update to version 0.1.1681904360.84ef141
      * Load network configuration even when missing protocol version (bsc#1210640)

    grafana:

    - Version update from 8.5.22 to 9.5.1 (jsc#PED-3694):
      * Security fixes:
        - CVE-2023-1410: grafana: Stored XSS in Graphite FunctionDescription tooltip (bsc#1209645)
        - CVE-2023-1387: grafana: JWT URL-login flow leaks token to data sources through request parameter in     proxy requests           (bnc#1210907)
        - CVE-2022-36062: grafana: Fix RBAC folders/dashboards privilege escalation (bsc#1203596)
        - CVE-2022-35957: grafana: Escalation from admin to server admin when auth proxy is used (bsc#1203597)
        - CVE-2022-32149: Upgrade x/text to version unaffected by CVE-2022-32149 (bsc#1204501)
        - CVE-2022-31107: grafana: OAuth account takeover (bsc#1201539)
        - CVE-2022-31097: grafana: stored XSS vulnerability (bsc#1201535)
        - CVE-2022-27664: go1.18,go1.19: net/http: handle server errors after sending GOAWAY (bsc#1203185)
        - CVE-2022-0155: follow-redirects: Exposure of Private Personal Information to an Unauthorized Actor
        - CVE-2021-43138: spacewalk-web: a malicious user can obtain privileges via the mapValues()     method(bsc#1200480)
        - CVE-2021-3918: json-schema is vulnerable to Improperly Controlled Modification of Object Prototype     Attributes           ('Prototype Pollution') (bsc#1192696)
        - CVE-2021-3807: node-ansi-regex: Inefficient Regular Expression Complexity in chalk/ansi-regex     (bsc#1192154)
        - CVE-2020-7753: nodejs-trim: Regular Expression Denial of Service (ReDoS) in trim function
      * Important changes:
        - Default named retention policies won't be used to query.
          Users who have a default named retention policy in their influxdb database, have to rename it to     something else.
          To change the hardcoded retention policy in the dashboard.json, users must then select the right     retention policy           from dropdown and save the panel/dashboard.
        - Grafana Alerting rules with NoDataState configuration set to Alerting will now respect 'For'     duration.
        - Users who use LDAP role sync to only sync Viewer, Editor and Admin roles, but grant Grafana Server     Admin role           manually will not be able to do that anymore. After this change, LDAP role sync will override any     manual changes           to Grafana Server Admin role assignments. If grafana_admin is left unset in LDAP role mapping     configuration, it           will default to false.
        - The InfluxDB backend migration feature toggle (influxdbBackendMigration) has been reintroduced in     this version           as issues were discovered with backend processing of InfluxDB data. Unless this feature toggle is     enabled, all           InfluxDB data will be parsed in the frontend. This frontend processing is the default behavior.
          In Grafana 9.4.4, InfluxDB data parsing started to be handled in the backend. If you have upgraded     to 9.4.4           and then added new transformations on InfluxDB data, those panels will fail to render. To resolve     this either:
          Remove the affected panel and re-create it or edit the `time` field as `Time` in `panel.json`           or `dashboard.json`
        - The `@grafana/ui` package helper function `selectOptionInTest` used in frontend tests has been     removed as it           caused testing libraries to be bundled in the production code of Grafana. If you were using this     helper function           in your tests please update your code accordingly.
        - Removed deprecated `checkHealth` prop from the `@grafana/e2e` `addDataSource` configuration.
    Previously this           value defaulted to `false`, and has not been used in end-to-end tests since Grafana 8.0.3.
        - Removed the deprecated `LegacyBaseMap`, `LegacyValueMapping`, `LegacyValueMap`, and `LegacyRangeMap`     types, and           `getMappedValue` function from grafana-data. See the documentation for the migration.
          This change fixes a bug in Grafana where intermittent failure of database, network between Grafana     and the           database, or error in querying the database would cause all alert rules to be unscheduled in     Grafana.
          Following this change scheduled alert rules are not updated unless the query is successful.
        - The `get_alert_rules_duration_seconds` metric has been renamed to     `schedule_query_alert_rules_duration_seconds`
        - Any secret (data sources credential, alert manager credential, etc, etc) created or modified with     Grafana v9.0           won't be decryptable from any previous version (by default) because the way encrypted secrets are     stored into the           database has changed. Although secrets created or modified with previous versions will still be     decryptable by           Grafana v9.0.
        - If required, although generally discouraged, the `disableEnvelopeEncryption` feature toggle can be     enabled to           keep envelope encryption disabled once updating to Grafana
        - In case of need to rollback to an earlier version of Grafana (i.e. Grafana v8.x) for any reason,     after being           created or modified any secret with Grafana v9.0, the `envelopeEncryption` feature toggle will need     to be enabled           to keep backwards compatibility (only from `v8.3.x` a bit unstable, from `8.5.x` stable).
        - As a final attempt to deal with issues related with the aforementioned situations, the           `grafana-cli admin secrets-migration rollback` command has been designed to move back all the     Grafana secrets           encrypted with envelope encryption to legacy encryption. So, after running that command it should be     safe to           disable envelope encryption and/or roll back to a previous version of Grafana.
          Alternatively or complementarily to all the points above, backing up the Grafana database before     updating could           be a good idea to prevent disasters (although the risk of getting some secrets corrupted only     applies to those           updates/created with after updating to Grafana v9.0).
        - In Elasticsearch, browser access mode was deprecated in grafana 7.4.0 and removed in 9.0.0. If you     used this mode           please switch to server access mode on the datasource configuration page.
        - Environment variables passed from Grafana to external Azure plugins have been renamed:
          `AZURE_CLOUD` renamed to `GFAZPL_AZURE_CLOUD`,           `AZURE_MANAGED_IDENTITY_ENABLED` renamed to `GFAZPL_MANAGED_IDENTITY_ENABLED`,           `AZURE_MANAGED_IDENTITY_CLIENT_ID` renamed to `GFAZPL_MANAGED_IDENTITY_CLIENT_ID`.
          There are no known plugins which were relying on these variables. Moving forward plugins should read     Azure           settings only via Grafana Azure SDK which properly handles old and new environment variables.
        - Removes support for for ElasticSearch versions after their end-of-life, currently versions < 7.10.0.
          To continue to use ElasticSearch data source, upgrade ElasticSearch to version 7.10.0+.
        - Application Insights and Insight Analytics queries in Azure Monitor were deprecated in Grafana 8.0     and finally           removed in 9.0. Deprecated queries will no longer be executed.
        - grafana/ui: Button now specifies a default type='button'.
          The `Button` component provided by @grafana/ui now specifies a default `type='button'` when no type     is provided.
          In previous versions, if the attribute was not specified for buttons associated with a `<form>` the           default value was `submit` per the specification. You can preserve the old behavior by explicitly     setting the           type attribute: `<Button type='submit' />`
        - The `Rename by regex` transformation has been improved to allow global patterns of the form           `/<stringToReplace>/g`.
          Depending on the regex match used, this may cause some transformations to behave slightly     differently. You can           guarantee the same behaviour as before by wrapping the `match` string in forward slashes (`/`), e.g.
    `(.*)` would           become `/(.*)/`
        - `<Select />` menus will now portal to the document body by default. This is to give more consistent           behaviour when positioning and overlaying. If you were setting`menuShouldPortal={true}` before you     can safely           remove that prop and behaviour will be the same. If you weren't explicitly setting that prop, there     should be no           visible changes in behaviour but your tests may need updating. If you were setting     `menuShouldPortal={false}`           this will continue to prevent the menu from portalling.
        - Grafana alerting endpoint prefixed with `api/v1/rule/test` that tests a rule against a Corte/Loki     data source now           expects the data source UID as a path parameter instead of the data source numeric identifier.
        - Grafana alerting endpoints prefixed with `api/prometheus/` that proxy requests to a Cortex/Loki data     source now           expect the data source UID as a path parameter instead of the data source numeric identifier.
        - Grafana alerting endpoints prefixed with `api/ruler/` that proxy requests to a Cortex/Loki data     source now expect           the data source UID as a path parameter instead of the data
        - Grafana alerting endpoints prefixed with `api/alertmanager/` that proxy requests to an Alertmanager     now expect           the data source UID as a path parameter instead of the data source numeric identifier.
        - The format of log messages have been updated, `lvl` is now `level` and `eror`and `dbug` has been     replaced with           `error` and `debug`. The precision of timestamps has been increased.
          To smooth the transition, it is possible to opt-out of the new log format by enabling the feature     toggle           `oldlog`.
          This option will be removed in a future minor release.
        - In the Loki data source, the dataframe format used to represent Loki logs-data has been changed to a     more           efficient format. The query-result is represented by a single dataframe with a 'labels' column,     instead of the           separate dataframes for every labels-value. When displaying such data in explore, or in a logs-panel     in the           dashboard will continue to work without changes, but if the data was loaded into a different     dashboard-panel, or           Transforms were used, adjustments may be necessary. For example, if you used the 'labels to fields'           transformation with the logs data, please switch to the 'extract fields' transformation.
      * Deprecations:
        - The `grafana_database_conn_*` metrics are deprecated, and will be removed in a future version of     Grafana. Use           the `go_sql_stats_*` metrics instead.
        - Support for compact Explore URLs is deprecated and will be removed in a future release. Until then,     when           navigating to Explore using the deprecated format the URLs are automatically converted. If you have           existing links pointing to Explore update them using the format generated by Explore upon     navigation.
          You can identify a compact URL by its format. Compact URLs have the left (and optionally right) url     parameter as           an array of strings, for example `&left=['now-1h','now'...]`. The standard explore URLs follow a     key/value           pattern, for example `&left={'datasource':'test'...}`. Please be sure to check your dashboards for     any           hardcoded links to Explore and update them to the standard URL pattern.
        - Chore: Remove deprecated DataSourceAPI methods.
        - Data: Remove deprecated types and functions from valueMappings.
        - Elasticsearch: Remove browser access mode.
        - Elasticsearch: Remove support for versions after their end of the life (<7.10.0).
        - Explore: Remove support for legacy, compact format URLs.
        - Graph: Deprecate Graph (old) and make it no longer a visualization option for new panels.
        - `setExploreQueryField`, `setExploreMetricsQueryField` and `setExploreLogsQueryField` are now     deprecated and will           be removed in a future release. If you need to set a different query editor for Explore,     conditionally render           based on `props.app` in your regular query editor.
      * Changes:
        - User: Fix externalUserId not being populated.
          If you used any of these components please use them from grafana/experimental from now on:
           - AccessoryButton
           - EditorFieldGroup
           - EditorHeader
           - EditorField
           - EditorRow
           - EditorList
           - EditorRows
           - EditorSwitch
           - FlexItem
           - Stack
           - InlineSelect
           - InputGroup
           - Space
        - Starting with 9.1.0, existing heatmap panels will start using a new implementation. This can be     disabled by           setting the `useLegacyHeatmapPanel` feature flag to true. It can be tested on a single dashbobard by     adding           `?__feature.useLegacyHeatmapPanel=true` to any dashboard URL.
        - Logger: Enable new logging format by default.
        - Loki: Enable new visual query builder by default.
        - Plugins: Remove plugin list panel.
        - Install wrapper scripts under /usr/sbin
        - Install actual binaries under /usr/libexec/grafana (or /usr/lib under older distributions) and     create a simlink           for wrapper scripts and the service (which expect the binary to be under /usr/share/grafana/bin)
        - Chore: Upgrade typescript to 4.6.4.

    mgr-daemon:

    - Version 4.3.7-1
      * Update translation strings

    spacecmd:

    - Version 4.3.21-1
      * fix argument parsing of distribution_update (bsc#1210458)
    - Version 4.3.20-1
      * Display activation key details after executing the corresponding command (bsc#1208719)
      * Show targetted packages before actually removing them (bsc#1207830)

    uyuni-common-libs:

    - Version 4.3.8-1
      * Allow default component for context manager

    zypp-plugin-spacewalk:

    - 1.0.14
      * SPEC cleanup

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 host has a package installed that is affected by multiple vulnerabilities as referenced in the SUSE-SU-2023:2575-1 advisory.

    grafana:

    - Version update from 8.5.22 to 9.5.1 (jsc#PED-3694):
      * Security fixes:
        - CVE-2023-1410: grafana: Stored XSS in Graphite FunctionDescription tooltip (bsc#1209645)
        - CVE-2023-1387: grafana: JWT URL-login flow leaks token to data sources through request parameter in     proxy requests           (bnc#1210907)
        - CVE-2022-36062: grafana: Fix RBAC folders/dashboards privilege escalation (bsc#1203596)
        - CVE-2022-35957: grafana: Escalation from admin to server admin when auth proxy is used (bsc#1203597)
        - CVE-2022-32149: Upgrade x/text to version unaffected by CVE-2022-32149 (bsc#1204501)
        - CVE-2022-31107: grafana: OAuth account takeover (bsc#1201539)
        - CVE-2022-31097: grafana: stored XSS vulnerability (bsc#1201535)
        - CVE-2022-27664: go1.18,go1.19: net/http: handle server errors after sending GOAWAY (bsc#1203185)
        - CVE-2022-0155: follow-redirects: Exposure of Private Personal Information to an Unauthorized Actor
        - CVE-2021-43138: spacewalk-web: a malicious user can obtain privileges via the mapValues()     method(bsc#1200480)
        - CVE-2021-3918: json-schema is vulnerable to Improperly Controlled Modification of Object Prototype     Attributes           ('Prototype Pollution') (bsc#1192696)
        - CVE-2021-3807: node-ansi-regex: Inefficient Regular Expression Complexity in chalk/ansi-regex     (bsc#1192154)
        - CVE-2020-7753: nodejs-trim: Regular Expression Denial of Service (ReDoS) in trim function
      * Important changes:
        - Default named retention policies won't be used to query.
          Users who have a default named retention policy in their influxdb database, have to rename it to     something else.
          To change the hardcoded retention policy in the dashboard.json, users must then select the right     retention policy           from dropdown and save the panel/dashboard.
        - Grafana Alerting rules with NoDataState configuration set to Alerting will now respect 'For'     duration.
        - Users who use LDAP role sync to only sync Viewer, Editor and Admin roles, but grant Grafana Server     Admin role           manually will not be able to do that anymore. After this change, LDAP role sync will override any     manual changes           to Grafana Server Admin role assignments. If grafana_admin is left unset in LDAP role mapping     configuration, it           will default to false.
        - The InfluxDB backend migration feature toggle (influxdbBackendMigration) has been reintroduced in     this version           as issues were discovered with backend processing of InfluxDB data. Unless this feature toggle is     enabled, all           InfluxDB data will be parsed in the frontend. This frontend processing is the default behavior.
          In Grafana 9.4.4, InfluxDB data parsing started to be handled in the backend. If you have upgraded     to 9.4.4           and then added new transformations on InfluxDB data, those panels will fail to render. To resolve     this either:
          Remove the affected panel and re-create it or edit the `time` field as `Time` in `panel.json`           or `dashboard.json`
        - The `@grafana/ui` package helper function `selectOptionInTest` used in frontend tests has been     removed as it           caused testing libraries to be bundled in the production code of Grafana. If you were using this     helper function           in your tests please update your code accordingly.
        - Removed deprecated `checkHealth` prop from the `@grafana/e2e` `addDataSource` configuration.
    Previously this           value defaulted to `false`, and has not been used in end-to-end tests since Grafana 8.0.3.
        - Removed the deprecated `LegacyBaseMap`, `LegacyValueMapping`, `LegacyValueMap`, and `LegacyRangeMap`     types, and           `getMappedValue` function from grafana-data. See the documentation for the migration.
          This change fixes a bug in Grafana where intermittent failure of database, network between Grafana     and the           database, or error in querying the database would cause all alert rules to be unscheduled in     Grafana.
          Following this change scheduled alert rules are not updated unless the query is successful.
        - The `get_alert_rules_duration_seconds` metric has been renamed to     `schedule_query_alert_rules_duration_seconds`
        - Any secret (data sources credential, alert manager credential, etc, etc) created or modified with     Grafana v9.0           won't be decryptable from any previous version (by default) because the way encrypted secrets are     stored into the           database has changed. Although secrets created or modified with previous versions will still be     decryptable by           Grafana v9.0.
        - If required, although generally discouraged, the `disableEnvelopeEncryption` feature toggle can be     enabled to           keep envelope encryption disabled once updating to Grafana
        - In case of need to rollback to an earlier version of Grafana (i.e. Grafana v8.x) for any reason,     after being           created or modified any secret with Grafana v9.0, the `envelopeEncryption` feature toggle will need     to be enabled           to keep backwards compatibility (only from `v8.3.x` a bit unstable, from `8.5.x` stable).
        - As a final attempt to deal with issues related with the aforementioned situations, the           `grafana-cli admin secrets-migration rollback` command has been designed to move back all the     Grafana secrets           encrypted with envelope encryption to legacy encryption. So, after running that command it should be     safe to           disable envelope encryption and/or roll back to a previous version of Grafana.
          Alternatively or complementarily to all the points above, backing up the Grafana database before     updating could           be a good idea to prevent disasters (although the risk of getting some secrets corrupted only     applies to those           updates/created with after updating to Grafana v9.0).
        - In Elasticsearch, browser access mode was deprecated in grafana 7.4.0 and removed in 9.0.0. If you     used this mode           please switch to server access mode on the datasource configuration page.
        - Environment variables passed from Grafana to external Azure plugins have been renamed:
          `AZURE_CLOUD` renamed to `GFAZPL_AZURE_CLOUD`,           `AZURE_MANAGED_IDENTITY_ENABLED` renamed to `GFAZPL_MANAGED_IDENTITY_ENABLED`,           `AZURE_MANAGED_IDENTITY_CLIENT_ID` renamed to `GFAZPL_MANAGED_IDENTITY_CLIENT_ID`.
          There are no known plugins which were relying on these variables. Moving forward plugins should read     Azure           settings only via Grafana Azure SDK which properly handles old and new environment variables.
        - Removes support for for ElasticSearch versions after their end-of-life, currently versions < 7.10.0.
          To continue to use ElasticSearch data source, upgrade ElasticSearch to version 7.10.0+.
        - Application Insights and Insight Analytics queries in Azure Monitor were deprecated in Grafana 8.0     and finally           removed in 9.0. Deprecated queries will no longer be executed.
        - grafana/ui: Button now specifies a default type='button'.
          The `Button` component provided by @grafana/ui now specifies a default `type='button'` when no type     is provided.
          In previous versions, if the attribute was not specified for buttons associated with a `<form>` the           default value was `submit` per the specification. You can preserve the old behavior by explicitly     setting the           type attribute: `<Button type='submit' />`
        - The `Rename by regex` transformation has been improved to allow global patterns of the form           `/<stringToReplace>/g`.
          Depending on the regex match used, this may cause some transformations to behave slightly     differently. You can           guarantee the same behaviour as before by wrapping the `match` string in forward slashes (`/`), e.g.
    `(.*)` would           become `/(.*)/`
        - `<Select />` menus will now portal to the document body by default. This is to give more consistent           behaviour when positioning and overlaying. If you were setting`menuShouldPortal={true}` before you     can safely           remove that prop and behaviour will be the same. If you weren't explicitly setting that prop, there     should be no           visible changes in behaviour but your tests may need updating. If you were setting     `menuShouldPortal={false}`           this will continue to prevent the menu from portalling.
        - Grafana alerting endpoint prefixed with `api/v1/rule/test` that tests a rule against a Corte/Loki     data source now           expects the data source UID as a path parameter instead of the data source numeric identifier.
        - Grafana alerting endpoints prefixed with `api/prometheus/` that proxy requests to a Cortex/Loki data     source now           expect the data source UID as a path parameter instead of the data source numeric identifier.
        - Grafana alerting endpoints prefixed with `api/ruler/` that proxy requests to a Cortex/Loki data     source now expect           the data source UID as a path parameter instead of the data
        - Grafana alerting endpoints prefixed with `api/alertmanager/` that proxy requests to an Alertmanager     now expect           the data source UID as a path parameter instead of the data source numeric identifier.
        - The format of log messages have been updated, `lvl` is now `level` and `eror`and `dbug` has been     replaced with           `error` and `debug`. The precision of timestamps has been increased.
          To smooth the transition, it is possible to opt-out of the new log format by enabling the feature     toggle           `oldlog`.
          This option will be removed in a future minor release.
        - In the Loki data source, the dataframe format used to represent Loki logs-data has been changed to a     more           efficient format. The query-result is represented by a single dataframe with a 'labels' column,     instead of the           separate dataframes for every labels-value. When displaying such data in explore, or in a logs-panel     in the           dashboard will continue to work without changes, but if the data was loaded into a different     dashboard-panel, or           Transforms were used, adjustments may be necessary. For example, if you used the 'labels to fields'           transformation with the logs data, please switch to the 'extract fields' transformation.
      * Deprecations:
        - The `grafana_database_conn_*` metrics are deprecated, and will be removed in a future version of     Grafana. Use           the `go_sql_stats_*` metrics instead.
        - Support for compact Explore URLs is deprecated and will be removed in a future release. Until then,     when           navigating to Explore using the deprecated format the URLs are automatically converted. If you have           existing links pointing to Explore update them using the format generated by Explore upon     navigation.
          You can identify a compact URL by its format. Compact URLs have the left (and optionally right) url     parameter as           an array of strings, for example `&left=['now-1h','now'...]`. The standard explore URLs follow a     key/value           pattern, for example `&left={'datasource':'test'...}`. Please be sure to check your dashboards for     any           hardcoded links to Explore and update them to the standard URL pattern.
        - Chore: Remove deprecated DataSourceAPI methods.
        - Data: Remove deprecated types and functions from valueMappings.
        - Elasticsearch: Remove browser access mode.
        - Elasticsearch: Remove support for versions after their end of the life (<7.10.0).
        - Explore: Remove support for legacy, compact format URLs.
        - Graph: Deprecate Graph (old) and make it no longer a visualization option for new panels.
        - `setExploreQueryField`, `setExploreMetricsQueryField` and `setExploreLogsQueryField` are now     deprecated and will           be removed in a future release. If you need to set a different query editor for Explore,     conditionally render           based on `props.app` in your regular query editor.
      * Changes:
        - User: Fix externalUserId not being populated.
          If you used any of these components please use them from grafana/experimental from now on:
           - AccessoryButton
           - EditorFieldGroup
           - EditorHeader
           - EditorField
           - EditorRow
           - EditorList
           - EditorRows
           - EditorSwitch
           - FlexItem
           - Stack
           - InlineSelect
           - InputGroup
           - Space
        - Starting with 9.1.0, existing heatmap panels will start using a new implementation. This can be     disabled by           setting the `useLegacyHeatmapPanel` feature flag to true. It can be tested on a single dashbobard by     adding           `?__feature.useLegacyHeatmapPanel=true` to any dashboard URL.
        - Logger: Enable new logging format by default.
        - Loki: Enable new visual query builder by default.
        - Plugins: Remove plugin list panel.
        - Install wrapper scripts under /usr/sbin
        - Install actual binaries under /usr/libexec/grafana (or /usr/lib under older distributions) and     create a simlink           for wrapper scripts and the service (which expect the binary to be under /usr/share/grafana/bin)
        - Chore: Upgrade typescript to 4.6.4.

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
419727	SCA: security update for trim (GHSA-w5p7-h5w8-2hfq)	Tenable Cloud Security	SCA Checks	2025/1/23	2026/7/2	high
419727	SCA: security update for trim (GHSA-w5p7-h5w8-2hfq)	Tenable Self-Hosted Container Security	SCA Checks	2025/1/23	2026/7/2	high
194919	Splunk Enterprise <8.1.14、8.2.0 < 8.2.11、9.0.0 < 9.0.5 (SVD-2023-0613)	Nessus	CGI abuses	2024/5/2	2024/7/26	critical
194919	Splunk Enterprise < 8.1.14、8.2.0 < 8.2.11、9.0.0 < 9.0.5 (SVD-2023-0613)	Nessus	CGI abuses	2024/5/2	2024/7/26	critical
194919	Splunk Enterprise < 8.1.14、8.2.0 < 8.2.11、9.0.0 < 9.0.5 (SVD-2023-0613)	Nessus	CGI abuses	2024/5/2	2024/7/26	critical
177497	SUSE SLES15 / openSUSE 15 セキュリティ更新: SUSE Manager Client Tools (SUSE-SU-2023:2578-1)	Nessus	SuSE Local Security Checks	2023/6/22	2026/6/26	high
190632	SUSE SLES15 / openSUSE 15 セキュリティ更新: SUSE Manager Client Tools (SUSE-SU-2024:0487-1)	Nessus	SuSE Local Security Checks	2024/2/17	2026/6/25	critical
177500	SUSE SLED15/ SLES15/ openSUSE 15 セキュリティ更新: SUSE Manager Client Tools (SUSE-SU-2023:2575-1)	Nessus	SuSE Local Security Checks	2023/6/22	2026/6/25	high
190632	SUSE SLES15: golang-github-lusitaniae-apache_exporter / etc (SUSE-SU-2024:0487-1)	Nessus	SuSE Local Security Checks	2024/2/17	2026/6/25	critical
194919	Splunk Enterprise < 8.1.14, 8.2.0 < 8.2.11, 9.0.0 < 9.0.5 (SVD-2023-0613)	Nessus	CGI abuses	2024/5/2	2024/7/26	critical
177497	SUSE SLES15: bind / bind-chrootenv / bind-devel / bind-devel-32bit / bind-doc / etc (SUSE-SU-2023:2578-1)	Nessus	SuSE Local Security Checks	2023/6/22	2026/6/26	high
177500	SUSE SLED15 / SLES15 / openSUSE 15 Security Update : SUSE Manager Client Tools (SUSE-SU-2023:2575-1)	Nessus	SuSE Local Security Checks	2023/6/22	2026/6/25	high

检测

插件搜索

high

high

critical

critical

critical

high

critical

high

critical

critical

high

high