远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2022:1781 公告中提及的一个漏洞影响。

  - grafana：目录遍历漏洞 (CVE-2021-43813)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 CentOS Linux 9 主机上安装的一个程序包受到 grafana-9.0.9-1.el9 版本变更日志中提及的多个漏洞影响。

  - XSS (CVE-2021-23648)

  - Grafana 是一个开源数据可视化平台。在受影响的版本中，未经身份验证和经过身份验证的用户可以访问文字路径 /dashboard/snapshot/:key, or /api/snapshots/:key 查看设有最低数据库密钥的快照。如果快照 public_mode 配置设置为 true（默认为 false），则未经身份验证的用户可以访问文字路径 /api/snapshots-delete/:deleteKey 删除设有最低数据库密钥的快照。无论快照 public_mode 设置如何，经过身份验证的用户都可以访问文字路径 /api/snapshots/:key 或 /api/snapshots-delete/:deleteKey 删除具有最低数据库密钥的快照。如果既删除又查看，则可完整遍历所有快照数据，同时导致快照数据完全丢失。此问题已在版本 8.1.6 和 7.5.11 中得到解决。如果由于某种原因无法升级，可以使用反向代理或类似工具阻止访问文字路径：
    /api/snapshots/:key、/api/snapshots-delete/:deleteKey、/dashboard/snapshot/:key 和 /api/snapshots/:key。
    这些路径功能异常，可以禁用而不会产生副作用。 (CVE-2021-39226)

  - *.md 文件的目录遍历漏洞 (CVE-2021-43813)

  - net/http: 限制标头规范化缓存的增长 (CVE-2021-44716)

  -net/http: 未正确审查 Transfer-Encoding 标头 (CVE-2022-1705)

  - 所有 Parse* 函数中的 go/parser: 堆栈耗尽问题 (CVE-2022-1962)

  - Forward OAuth Identity 标记允许用户访问部分数据源 (CVE-2022-21673)

  - client_golang 是 Prometheus 中 Go 应用程序的检测库，client_golang 中的 promhttp 程序包可提供有关 HTTP 服务器和客户端的工具。在低于 1.11.1 版本的 client_golang 中，当使用非标准 HTTP 方法处理请求时，HTTP 服务器容易受到通过无限制基数而导致的拒绝服务以及潜在内存耗尽问题的影响。必须满足以下条件，受检测的软件才会受到影响：使用除 `RequestsInFlight` 以外的任何 `promhttp.InstrumentHandler*` 中间件；
    在中间件之前，不过滤任何特定方法（例如 GET）；将带有 `method` 标签名称的指标传递给我们的中间件；并且没有任何防火墙/LB/代理过滤掉具有未知 `method` 的请求。
    client_golang 1.11.1 版本包含针对此问题的补丁。有多种变通方案可用，包括从 InstrumentHandler 使用的计数器/测量仪器中删除 `method` 标签名称；关闭受影响的 promhttp 处理程序；在 promhttp 处理程序之前添加自定义中间件，用于审查 Go http.Request 提供的请求方法；以及使用配置为仅允许有限方法集的反向代理或 Web 应用程序防火墙。(CVE-2022-21698)

  - 数据源处理中的 XSS 漏洞 (CVE-2022-21702)

  - CSRF 漏洞可能导致特权提升 (CVE-2022-21703)

  - IDOR 漏洞可导致信息泄露 (CVE-2022-21713)

  - Decoder.Skip 中的 encoding/xml: 堆栈耗尽问题 (CVE-2022-28131)

  - Glob 中的 io/fs: 堆栈耗尽问题 (CVE-2022-30630)

  - Reader.Read 中的 compress/gzip: 堆栈耗尽问题 (CVE-2022-30631)

  - Glob 中的 path/filepath: 堆栈耗尽问题 (CVE-2022-30632)

  - Unmarshal 中的 encoding/xml: 堆栈耗尽问题 (CVE-2022-30633)

  - Decoder.Decode 中的 encoding/gob: 堆栈耗尽问题 (CVE-2022-30635)

  - OAuth 帐户接管 (CVE-2022-31107)

  - net/http/httputil: NewSingleHostReverseProxy (CVE-2022-32148)

  - 使用认证代理时从 admin 升级到服务器 admin (rhbz#2125530) (CVE-2022-35957)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 CentOS Linux 8 主机上安装的一个程序包受到 CESA-2022: 1781 公告。

  - grafana：目录遍历漏洞 (CVE-2021-43813)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 AlmaLinux 8 主机安装有程序包该程序包受到 ALSA-2022:1781 公告中提及的漏洞的影响。

  - Grafana 是用于监控和观察的开源平台。低于 8.3.2 和 7.5.12 版本的 Grafana 中包含适用于完全小写或完全大写 .md 文件的目录遍历漏洞。此漏洞的影响范围有限，仅允许经过身份验证的用户访问扩展名为 .md 的文件。Grafana Cloud 实例尚未受到此漏洞影响。用户应升级到修补后的 8.3.2 或 7.5.12 版本。对于无法升级的用户，可以在 Grafana 之前运行对请求的 PATH 进行规范化的反向代理来缓解此漏洞。此代理还必须能够处理 url 编码的路径。或者，对于完全小写或完全大写的 .md 文件，用户可以阻止 /api/plugins/.*/markdown/.*，而不会丢失内联插件帮助文本以外的任何功能。(CVE-2021-43813)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Grafana 是用于监控和观察的开源平台。低于 8.3.2 和 7.5.12 版本的 Grafana 中包含适用于完全小写或完全大写 .md 文件的目录遍历漏洞。此漏洞的影响范围有限，仅允许经过身份验证的用户访问扩展名为 .md 的文件。Grafana Cloud 实例尚未受到此漏洞影响。用户应升级到修补后的 8.3.2 或 7.5.12 版本。对于无法升级的用户，可以在 Grafana 之前运行对请求的 PATH 进行规范化的反向代理来缓解此漏洞。此代理还必须能够处理 url 编码的路径。或者，对于完全小写或完全大写的 .md 文件，用户可以阻止 /api/plugins/.*/markdown/.*，而不会丢失内联插件帮助文本以外的任何功能。(CVE-2021-43813)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 Oracle Linux 8 主机上安装的一个程序包受到 ELSA-2022-1781 公告中提及的一个漏洞影响。

  - Grafana 是用于监控和观察的开源平台。低于 8.3.2 和 7.5.12 版本的 Grafana 中包含适用于完全小写或完全大写 .md 文件的目录遍历漏洞。此漏洞的影响范围有限，仅允许经过身份验证的用户访问扩展名为 .md 的文件。Grafana Cloud 实例尚未受到此漏洞影响。用户应升级到修补后的 8.3.2 或 7.5.12 版本。对于无法升级的用户，可以在 Grafana 之前运行对请求的 PATH 进行规范化的反向代理来缓解此漏洞。此代理还必须能够处理 url 编码的路径。或者，对于完全小写或完全大写的 .md 文件，用户可以阻止 /api/plugins/.*/markdown/.*，而不会丢失内联插件帮助文本以外的任何功能。(CVE-2021-43813)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Rocky Linux 8 主机上存在安装的程序包该程序包受到公告 RLSA-2022:1781 中提及的漏洞的影响。

  - Grafana 是用于监控和观察的开源平台。低于 8.3.2 和 7.5.12 版本的 Grafana 中包含适用于完全小写或完全大写 .md 文件的目录遍历漏洞。此漏洞的影响范围有限，仅允许经过身份验证的用户访问扩展名为 .md 的文件。Grafana Cloud 实例尚未受到此漏洞影响。用户应升级到修补后的 8.3.2 或 7.5.12 版本。对于无法升级的用户，可以在 Grafana 之前运行对请求的 PATH 进行规范化的反向代理来缓解此漏洞。此代理还必须能够处理 url 编码的路径。或者，对于完全小写或完全大写的 .md 文件，用户可以阻止 /api/plugins/.*/markdown/.*，而不会丢失内联插件帮助文本以外的任何功能。(CVE-2021-43813)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
161035	RHEL 8：grafana (RHSA-2022:1781)	Nessus	Red Hat Local Security Checks	2022/5/11	2025/3/13	medium
191236	CentOS 9 : grafana-9.0.9-1.el9	Nessus	CentOS Local Security Checks	2024/2/29	2024/4/26	high
160958	CentOS 8：grafana (CESA-2022: 1781)	Nessus	CentOS Local Security Checks	2022/5/10	2022/5/10	medium
161134	AlmaLinux 8grafana (ALSA-2022:1781)	Nessus	Alma Linux Local Security Checks	2022/5/12	2022/5/12	medium
260322	Linux Distros 未修补的漏洞：CVE-2021-43813	Nessus	Misc.	2025/9/2	2025/9/2	medium
161284	Oracle Linux 8：grafana (ELSA-2022-1781)	Nessus	Oracle Linux Local Security Checks	2022/5/18	2024/10/22	medium
184950	Rocky Linux 8grafana (RLSA-2022:1781)	Nessus	Rocky Linux Local Security Checks	2023/11/7	2023/11/7	medium

检测

插件搜索

medium

high

medium

medium

medium

medium

medium