There are packages installed that are affected by multiple vulnerabilities referenced in the following CVEs:

  - Grafana Enterprise 7.2.x and 7.3.x before 7.3.10 and 7.4.x before 7.4.5 allows a dashboard editor to
    bypass a permission check concerning a data source they should not be able to access. (CVE-2021-27962)

  - The team sync HTTP API in Grafana Enterprise 7.4.x before 7.4.5 has an Incorrect Access Control issue. On
    Grafana instances using an external authentication service, this vulnerability allows any authenticated
    user to add external groups to existing teams. This can be used to grant a user team permissions that the
    user isn't supposed to have. (CVE-2021-28146)

  - The team sync HTTP API in Grafana Enterprise 6.x before 6.7.6, 7.x before 7.3.10, and 7.4.x before 7.4.5
    has an Incorrect Access Control issue. On Grafana instances using an external authentication service and
    having the EditorsCanAdmin feature enabled, this vulnerability allows any authenticated user to add
    external groups to any existing team. This can be used to grant a user team permissions that the user
    isn't supposed to have. (CVE-2021-28147)

  - One of the usage insights HTTP API endpoints in Grafana Enterprise 6.x before 6.7.6, 7.x before 7.3.10,
    and 7.4.x before 7.4.5 is accessible without any authentication. This allows any unauthenticated user to
    send an unlimited number of requests to the endpoint, leading to a denial of service (DoS) attack against
    a Grafana Enterprise instance. (CVE-2021-28148)

リモートの SUSE Linux SUSE15ホストには、openSUSE-SU-2021:1162-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Grafana Enterprise 7.2.x および 7.3.x より前の 7.3.10 および 7.4.x より前の 7.4.5 により、ダッシュボードエディターは、アクセスできないはずのデータソースに関する権限チェックをバイパスできます。(CVE-2021-27962)

  - 7.4.5 より前の Grafana Enterprise 7.4.x のチーム同期 HTTP API に、不適切なアクセス制御の問題があります。外部認証サービスを使用する Grafana インスタンスで、この脆弱性により、認証されたユーザーが外部グループを既存のチームに追加する可能性があります。これを使用して、ユーザーが持つべきではないユーザーチーム権限を付与できます。(CVE-2021-28146)

  - 6.7.6 より前の Grafana Enterprise 6.x、7.3.10 前の 7.x、7.4.5 前の 7.4.x のチーム同期 HTTP API に、不適切なアクセス制御の問題があります。外部認証サービスを使用し、EditorsCanAdmin 機能が有効な Grafana インスタンスで、この脆弱性により、認証されたユーザーが外部グループを既存のチームに追加する可能性があります。これを使用して、ユーザーが持つべきではないユーザーチーム権限を付与できます。(CVE-2021-28147)

  - Grafana Enterprise 6.7.6 より前の 6.x、7.3.10 より前の 7.x、および 7.4.5 より前の 7.4.x の Usage Insights HTTP API エンドポイントの 1 つに、認証なしでアクセスできます。これにより、認証されていないユーザーが無制限の数のリクエストをエンドポイントに送信し、Grafana Enterprise インスタンスに対するサービス拒否 (DoS) 攻撃を引き起こす可能性があります。(CVE-2021-28148)

  - Prometheus は、オープンソースのモニタリングシステムおよび時系列データベースです2.23.0で、PrometheusはそのデフォルトUIを新規UIに変更しました。シームレスに移行できるよう、/newのプレフィックスのあるURLが/にリダイレクトされます。コードのバグにより、攻撃者が/newエンドポイントで他のURLにリダイレクトできるURLを細工する可能性があります。ユーザーが特別に細工されたアドレスでprometheusサーバーにアクセスすると、任意のURLにリダイレクトされる可能性があります。この問題は2.26.1および2.27.1リリースで修正されました。2.28.0で、/newエンドポイントが完全に削除されます。回避策は、Prometheus の前にあるリバースプロキシを介して /new へのアクセスを無効にすることです。(CVE-2021-29622)

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの SUSE Linux SUSE15ホストには、openSUSE-SU-2021:2662-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Grafana 6.7.3 〜 7.4.1 のスナップショット機能により、一般的に使用される構成が設定されている場合、認証されていないリモートの攻撃者がリモート API 呼び出しを介してサービス拒否を引き起こす可能性があります。
    (CVE-2021-27358)

  - Grafana Enterprise 7.2.x および 7.3.x より前の 7.3.10 および 7.4.x より前の 7.4.5 により、ダッシュボードエディターは、アクセスできないはずのデータソースに関する権限チェックをバイパスできます。(CVE-2021-27962)

  - 7.4.5 より前の Grafana Enterprise 7.4.x のチーム同期 HTTP API に、不適切なアクセス制御の問題があります。外部認証サービスを使用する Grafana インスタンスで、この脆弱性により、認証されたユーザーが外部グループを既存のチームに追加する可能性があります。これを使用して、ユーザーが持つべきではないユーザーチーム権限を付与できます。(CVE-2021-28146)

  - 6.7.6 より前の Grafana Enterprise 6.x、7.3.10 前の 7.x、7.4.5 前の 7.4.x のチーム同期 HTTP API に、不適切なアクセス制御の問題があります。外部認証サービスを使用し、EditorsCanAdmin 機能が有効な Grafana インスタンスで、この脆弱性により、認証されたユーザーが外部グループを既存のチームに追加する可能性があります。これを使用して、ユーザーが持つべきではないユーザーチーム権限を付与できます。(CVE-2021-28147)

  - Grafana Enterprise 6.7.6 より前の 6.x、7.3.10 より前の 7.x、および 7.4.5 より前の 7.4.x の Usage Insights HTTP API エンドポイントの 1 つに、認証なしでアクセスできます。これにより、認証されていないユーザーが無制限の数のリクエストをエンドポイントに送信し、Grafana Enterprise インスタンスに対するサービス拒否 (DoS) 攻撃を引き起こす可能性があります。(CVE-2021-28148)

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの SUSE Linux SUSE15ホストには、openSUSE-SU-2021:1148-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Grafana 6.7.3 〜 7.4.1 のスナップショット機能により、一般的に使用される構成が設定されている場合、認証されていないリモートの攻撃者がリモート API 呼び出しを介してサービス拒否を引き起こす可能性があります。
    (CVE-2021-27358)

  - Grafana Enterprise 7.2.x および 7.3.x より前の 7.3.10 および 7.4.x より前の 7.4.5 により、ダッシュボードエディターは、アクセスできないはずのデータソースに関する権限チェックをバイパスできます。(CVE-2021-27962)

  - 7.4.5 より前の Grafana Enterprise 7.4.x のチーム同期 HTTP API に、不適切なアクセス制御の問題があります。外部認証サービスを使用する Grafana インスタンスで、この脆弱性により、認証されたユーザーが外部グループを既存のチームに追加する可能性があります。これを使用して、ユーザーが持つべきではないユーザーチーム権限を付与できます。(CVE-2021-28146)

  - 6.7.6 より前の Grafana Enterprise 6.x、7.3.10 前の 7.x、7.4.5 前の 7.4.x のチーム同期 HTTP API に、不適切なアクセス制御の問題があります。外部認証サービスを使用し、EditorsCanAdmin 機能が有効な Grafana インスタンスで、この脆弱性により、認証されたユーザーが外部グループを既存のチームに追加する可能性があります。これを使用して、ユーザーが持つべきではないユーザーチーム権限を付与できます。(CVE-2021-28147)

  - Grafana Enterprise 6.7.6 より前の 6.x、7.3.10 より前の 7.x、および 7.4.5 より前の 7.4.x の Usage Insights HTTP API エンドポイントの 1 つに、認証なしでアクセスできます。これにより、認証されていないユーザーが無制限の数のリクエストをエンドポイントに送信し、Grafana Enterprise インスタンスに対するサービス拒否 (DoS) 攻撃を引き起こす可能性があります。(CVE-2021-28148)

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの SUSE Linux SUSE15ホストには、openSUSE-SU-2021:2675-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Grafana Enterprise 7.2.x および 7.3.x より前の 7.3.10 および 7.4.x より前の 7.4.5 により、ダッシュボードエディターは、アクセスできないはずのデータソースに関する権限チェックをバイパスできます。(CVE-2021-27962)

  - 7.4.5 より前の Grafana Enterprise 7.4.x のチーム同期 HTTP API に、不適切なアクセス制御の問題があります。外部認証サービスを使用する Grafana インスタンスで、この脆弱性により、認証されたユーザーが外部グループを既存のチームに追加する可能性があります。これを使用して、ユーザーが持つべきではないユーザーチーム権限を付与できます。(CVE-2021-28146)

  - 6.7.6 より前の Grafana Enterprise 6.x、7.3.10 前の 7.x、7.4.5 前の 7.4.x のチーム同期 HTTP API に、不適切なアクセス制御の問題があります。外部認証サービスを使用し、EditorsCanAdmin 機能が有効な Grafana インスタンスで、この脆弱性により、認証されたユーザーが外部グループを既存のチームに追加する可能性があります。これを使用して、ユーザーが持つべきではないユーザーチーム権限を付与できます。(CVE-2021-28147)

  - Grafana Enterprise 6.7.6 より前の 6.x、7.3.10 より前の 7.x、および 7.4.5 より前の 7.4.x の Usage Insights HTTP API エンドポイントの 1 つに、認証なしでアクセスできます。これにより、認証されていないユーザーが無制限の数のリクエストをエンドポイントに送信し、Grafana Enterprise インスタンスに対するサービス拒否 (DoS) 攻撃を引き起こす可能性があります。(CVE-2021-28148)

  - Prometheus は、オープンソースのモニタリングシステムおよび時系列データベースです2.23.0で、PrometheusはそのデフォルトUIを新規UIに変更しました。シームレスに移行できるよう、/newのプレフィックスのあるURLが/にリダイレクトされます。コードのバグにより、攻撃者が/newエンドポイントで他のURLにリダイレクトできるURLを細工する可能性があります。ユーザーが特別に細工されたアドレスでprometheusサーバーにアクセスすると、任意のURLにリダイレクトされる可能性があります。この問題は2.26.1および2.27.1リリースで修正されました。2.28.0で、/newエンドポイントが完全に削除されます。回避策は、Prometheus の前にあるリバースプロキシを介して /new へのアクセスを無効にすることです。(CVE-2021-29622)

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

The remote SUSE Linux SUSE15 host has packages installed that are affected by multiple vulnerabilities as referenced in the openSUSE-SU-2021:1162-1 advisory.

  - Grafana Enterprise 7.2.x and 7.3.x before 7.3.10 and 7.4.x before 7.4.5 allows a dashboard editor to     bypass a permission check concerning a data source they should not be able to access. (CVE-2021-27962)

  - The team sync HTTP API in Grafana Enterprise 7.4.x before 7.4.5 has an Incorrect Access Control issue. On     Grafana instances using an external authentication service, this vulnerability allows any authenticated     user to add external groups to existing teams. This can be used to grant a user team permissions that the     user isn't supposed to have. (CVE-2021-28146)

  - The team sync HTTP API in Grafana Enterprise 6.x before 6.7.6, 7.x before 7.3.10, and 7.4.x before 7.4.5     has an Incorrect Access Control issue. On Grafana instances using an external authentication service and     having the EditorsCanAdmin feature enabled, this vulnerability allows any authenticated user to add     external groups to any existing team. This can be used to grant a user team permissions that the user     isn't supposed to have. (CVE-2021-28147)

  - One of the usage insights HTTP API endpoints in Grafana Enterprise 6.x before 6.7.6, 7.x before 7.3.10,     and 7.4.x before 7.4.5 is accessible without any authentication. This allows any unauthenticated user to     send an unlimited number of requests to the endpoint, leading to a denial of service (DoS) attack against     a Grafana Enterprise instance. (CVE-2021-28148)

  - Prometheus is an open-source monitoring system and time series database. In 2.23.0, Prometheus changed its     default UI to the New ui. To ensure a seamless transition, the URL's prefixed by /new redirect to /. Due     to a bug in the code, it is possible for an attacker to craft an URL that can redirect to any other URL,     in the /new endpoint. If a user visits a prometheus server with a specially crafted address, they can be     redirected to an arbitrary URL. The issue was patched in the 2.26.1 and 2.27.1 releases. In 2.28.0, the     /new endpoint will be removed completely. The workaround is to disable access to /new via a reverse proxy     in front of Prometheus. (CVE-2021-29622)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SUSE15 host has a package installed that is affected by multiple vulnerabilities as referenced in the openSUSE-SU-2021:2662-1 advisory.

  - The snapshot feature in Grafana 6.7.3 through 7.4.1 can allow an unauthenticated remote attackers to     trigger a Denial of Service via a remote API call if a commonly used configuration is set.
    (CVE-2021-27358)

  - Grafana Enterprise 7.2.x and 7.3.x before 7.3.10 and 7.4.x before 7.4.5 allows a dashboard editor to     bypass a permission check concerning a data source they should not be able to access. (CVE-2021-27962)

  - The team sync HTTP API in Grafana Enterprise 7.4.x before 7.4.5 has an Incorrect Access Control issue. On     Grafana instances using an external authentication service, this vulnerability allows any authenticated     user to add external groups to existing teams. This can be used to grant a user team permissions that the     user isn't supposed to have. (CVE-2021-28146)

  - The team sync HTTP API in Grafana Enterprise 6.x before 6.7.6, 7.x before 7.3.10, and 7.4.x before 7.4.5     has an Incorrect Access Control issue. On Grafana instances using an external authentication service and     having the EditorsCanAdmin feature enabled, this vulnerability allows any authenticated user to add     external groups to any existing team. This can be used to grant a user team permissions that the user     isn't supposed to have. (CVE-2021-28147)

  - One of the usage insights HTTP API endpoints in Grafana Enterprise 6.x before 6.7.6, 7.x before 7.3.10,     and 7.4.x before 7.4.5 is accessible without any authentication. This allows any unauthenticated user to     send an unlimited number of requests to the endpoint, leading to a denial of service (DoS) attack against     a Grafana Enterprise instance. (CVE-2021-28148)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SUSE15 host has a package installed that is affected by multiple vulnerabilities as referenced in the openSUSE-SU-2021:1148-1 advisory.

  - The snapshot feature in Grafana 6.7.3 through 7.4.1 can allow an unauthenticated remote attackers to     trigger a Denial of Service via a remote API call if a commonly used configuration is set.
    (CVE-2021-27358)

  - Grafana Enterprise 7.2.x and 7.3.x before 7.3.10 and 7.4.x before 7.4.5 allows a dashboard editor to     bypass a permission check concerning a data source they should not be able to access. (CVE-2021-27962)

  - The team sync HTTP API in Grafana Enterprise 7.4.x before 7.4.5 has an Incorrect Access Control issue. On     Grafana instances using an external authentication service, this vulnerability allows any authenticated     user to add external groups to existing teams. This can be used to grant a user team permissions that the     user isn't supposed to have. (CVE-2021-28146)

  - The team sync HTTP API in Grafana Enterprise 6.x before 6.7.6, 7.x before 7.3.10, and 7.4.x before 7.4.5     has an Incorrect Access Control issue. On Grafana instances using an external authentication service and     having the EditorsCanAdmin feature enabled, this vulnerability allows any authenticated user to add     external groups to any existing team. This can be used to grant a user team permissions that the user     isn't supposed to have. (CVE-2021-28147)

  - One of the usage insights HTTP API endpoints in Grafana Enterprise 6.x before 6.7.6, 7.x before 7.3.10,     and 7.4.x before 7.4.5 is accessible without any authentication. This allows any unauthenticated user to     send an unlimited number of requests to the endpoint, leading to a denial of service (DoS) attack against     a Grafana Enterprise instance. (CVE-2021-28148)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SUSE15 host has packages installed that are affected by multiple vulnerabilities as referenced in the openSUSE-SU-2021:2675-1 advisory.

  - Grafana Enterprise 7.2.x and 7.3.x before 7.3.10 and 7.4.x before 7.4.5 allows a dashboard editor to     bypass a permission check concerning a data source they should not be able to access. (CVE-2021-27962)

  - The team sync HTTP API in Grafana Enterprise 7.4.x before 7.4.5 has an Incorrect Access Control issue. On     Grafana instances using an external authentication service, this vulnerability allows any authenticated     user to add external groups to existing teams. This can be used to grant a user team permissions that the     user isn't supposed to have. (CVE-2021-28146)

  - The team sync HTTP API in Grafana Enterprise 6.x before 6.7.6, 7.x before 7.3.10, and 7.4.x before 7.4.5     has an Incorrect Access Control issue. On Grafana instances using an external authentication service and     having the EditorsCanAdmin feature enabled, this vulnerability allows any authenticated user to add     external groups to any existing team. This can be used to grant a user team permissions that the user     isn't supposed to have. (CVE-2021-28147)

  - One of the usage insights HTTP API endpoints in Grafana Enterprise 6.x before 6.7.6, 7.x before 7.3.10,     and 7.4.x before 7.4.5 is accessible without any authentication. This allows any unauthenticated user to     send an unlimited number of requests to the endpoint, leading to a denial of service (DoS) attack against     a Grafana Enterprise instance. (CVE-2021-28148)

  - Prometheus is an open-source monitoring system and time series database. In 2.23.0, Prometheus changed its     default UI to the New ui. To ensure a seamless transition, the URL's prefixed by /new redirect to /. Due     to a bug in the code, it is possible for an attacker to craft an URL that can redirect to any other URL,     in the /new endpoint. If a user visits a prometheus server with a specially crafted address, they can be     redirected to an arbitrary URL. The issue was patched in the 2.26.1 and 2.27.1 releases. In 2.28.0, the     /new endpoint will be removed completely. The workaround is to disable access to /new via a reverse proxy     in front of Prometheus. (CVE-2021-29622)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
404798	Alpine: multiple grafana packages: security update to 7.4.5-r0	Tenable Cloud Security	Alpine Linux Local Security Checks	2023/10/31	2026/7/2	high
404798	Alpine: multiple grafana packages: security update to 7.4.5-r0	Tenable Self-Hosted Container Security	Alpine Linux Local Security Checks	2023/10/31	2026/7/2	high
400257	Alpine: multiple grafana packages: security update to 7.4.3-r0 (deprecated)	Tenable Self-Hosted Container Security	Alpine Linux Local Security Checks	2023/8/16	2026/7/2	high
400257	Alpine: multiple grafana packages: security update to 7.4.3-r0 (deprecated)	Tenable Cloud Security	Alpine Linux Local Security Checks	2023/8/16	2026/7/2	high
152647	openSUSE 15 セキュリティ更新 : SUSE Manager Client Tools(openSUSE-SU-2021:1162-1)	Nessus	SuSE Local Security Checks	2021/8/18	2022/5/9	high
152554	openSUSE 15 セキュリティ更新: grafana (openSUSE-SU-2021:2662-1)	Nessus	SuSE Local Security Checks	2021/8/13	2021/8/13	high
152561	openSUSE 15 セキュリティ更新: grafana (openSUSE-SU-2021:1148-1)	Nessus	SuSE Local Security Checks	2021/8/14	2021/8/14	high
152552	openSUSE 15 セキュリティ更新 : SUSE Manager Client Tools(openSUSE-SU-2021:2675-1)	Nessus	SuSE Local Security Checks	2021/8/13	2022/5/9	high
152647	openSUSE 15 Security Update : SUSE Manager Client Tools (openSUSE-SU-2021:1162-1)	Nessus	SuSE Local Security Checks	2021/8/18	2022/5/9	high
152554	openSUSE 15 Security Update : grafana (openSUSE-SU-2021:2662-1)	Nessus	SuSE Local Security Checks	2021/8/13	2021/8/13	high
152561	openSUSE 15 Security Update : grafana (openSUSE-SU-2021:1148-1)	Nessus	SuSE Local Security Checks	2021/8/14	2021/8/14	high
152552	openSUSE 15 Security Update : SUSE Manager Client Tools (openSUSE-SU-2021:2675-1)	Nessus	SuSE Local Security Checks	2021/8/13	2022/5/9	high

检测

插件搜索

high

high

high

high

high

high

high

high

high

high

high

high